WordPress 7.1.4 zatvara ozbiljan sigurnosni propust: napadači ciljaju stranice tijekom nadogradnje

WordPress je objavio izvanredno sigurnosno ažuriranje 7.1.4 koje otklanja 22 ranjivosti, uključujući propust koji napadačima omogućuje izvršavanje koda na poslužitelju tijekom nadogradnje sustava. Sigurnosna tvrtka Wordfence već je blokirala više od 240.000 pokušaja iskorištavanja ranjivosti, a američka agencija CISA potvrdila je njezino aktivno iskorištavanje. Administratori bi trebali što prije provjeriti jesu li njihove WordPress instalacije zaštićene.

WordPress je 28. listopada 2026. objavio verziju 7.1.4, izvanredno sigurnosno izdanje koje rješava niz problema u samoj jezgri sustava (WordPress Core). Prema analizi sigurnosne tvrtke Patchstack, ažuriranje obuhvaća 22 ranjivosti raspoređene u 17 sigurnosnih upozorenja.

Među njima se posebno ističe ranjivost označena kao CVE-2026-119977, koja omogućuje udaljeno izvršavanje koda (Remote Code Execution ili RCE) bez potrebe za prijavom na WordPress.

Neobično je mjesto na kojem se problem pojavljuje. Ranjivost nije povezana s određenim dodatkom, temom ili obrascem za prijavu, nego sa samim postupkom nadogradnje WordPressa.

Drugim riječima, napadači pokušavaju iskoristiti upravo onaj trenutak kada se sustav ažurira kako bi postao sigurniji.

Kako funkcionira sigurnosni propust u WordPressu?

Da bismo razumjeli ranjivost CVE-2026-119977, potrebno je pogledati kako WordPress izvodi nadogradnju svoje jezgre.

Prilikom nadogradnje koja koristi puni instalacijski paket, WordPress preuzima i raspakirava nove datoteke u privremenu mapu na poslužitelju. Ta se mapa nalazi unutar direktorija /wp-content/upgrade/.

Problem je u tome što je u ranjivim verzijama ime poddirektorija u kojem se raspakiravao paket bilo predvidljivo. Na poslužiteljima koji omogućuju javni web-pristup tom direktoriju, privremene instalacijske datoteke mogle su postati dostupne i vanjskim korisnicima.

Među njima se nalazi i WordPressova instalacijska skripta setup-config.php, namijenjena početnom postavljanju sustava.

Ako napadač pristupi toj skripti u pravom trenutku, pod odgovarajućim uvjetima može pokrenuti neovlašteni instalacijski postupak, a zatim doći do izvršavanja vlastitog PHP koda na poslužitelju.

Uspješan napad potencijalno omogućuje preuzimanje kontrole nad web-stranicom, instaliranje zlonamjernih datoteka, izmjenu sadržaja i pristup osjetljivim podacima.

Što je race condition ranjivost?

Ovaj sigurnosni problem pripada kategoriji race condition, preciznije Time-of-check to time-of-use (TOCTOU) ranjivosti.
Pojednostavljeno, riječ je o situaciji u kojoj sigurnost određene operacije ovisi o redoslijedu i vremenu izvođenja više radnji.

U konkretnom slučaju napadač mora pogoditi kratko razdoblje između raspakiravanja WordPressovih instalacijskih datoteka i njihova uklanjanja nakon završetka nadogradnje. Taj vremenski prozor može trajati svega nekoliko sekundi.
Zbog toga iskorištavanje ranjivosti nije jednostavno. Napadač mora pogoditi trenutak nadogradnje, pristupiti odgovarajućim datotekama i završiti potrebne radnje prije nego što se privremena mapa ukloni.

Ipak, kratko trajanje ranjivog razdoblja nije jamstvo sigurnosti.
Automatizirani alati mogu kontinuirano slati zahtjeve prema potencijalno ranjivim lokacijama, pokušavajući uhvatiti trenutak u kojem započinje nadogradnja. Upravo takvo ponašanje primijetili su sigurnosni istraživači.

Wordfence je blokirao više od 240.000 pokušaja napada

U izvještaju objavljenom 5. studenoga 2026. sigurnosna tvrtka Wordfence navodi da je njezin vatrozid blokirao više od 240.000 pokušaja iskorištavanja ove ranjivosti od njezina javnog otkrivanja.

Prvi pokušaji zabilježeni su već 28. listopada, istoga dana kada je WordPress objavio sigurnosnu zakrpu.

Najintenzivnija aktivnost dogodila se između 29. listopada i 1. studenoga. Samo 30. listopada Wordfence je blokirao više od 74.000 zahtjeva povezanih s pokušajima iskorištavanja propusta.

Međutim, važno je pravilno protumačiti ove brojke.

Više od 240.000 blokiranih pokušaja ne znači da je kompromitirano 240.000 WordPress stranica.

Riječ je o zahtjevima koje je prepoznao i blokirao Wordfenceov sigurnosni sustav. Pojedini napadači mogu poslati tisuće zahtjeva prema istoj web-stranici ili velikom broju instalacija.
Wordfence naglašava da je iskorištavanje ove ranjivosti u praksi teško, upravo zbog iznimno kratkog vremenskog prozora.

Unatoč tome, broj pokušaja potvrđuje da postoji aktivan interes za njezino iskorištavanje.

CISA potvrdila aktivno iskorištavanje ranjivosti

Dodatnu težinu sigurnosnom upozorenju daje odluka američke Agencije za kibernetičku sigurnost i sigurnost infrastrukture (CISA).

Agencija je 3. studenoga 2026. dodala CVE-2026-119977 u svoj katalog Known Exploited Vulnerabilities (KEV), u koji uvrštava ranjivosti za koje postoje dokazi o aktivnom iskorištavanju.
CISA nije objavila detalje o broju uspješno kompromitiranih WordPress instalacija.

Ipak, uvrštavanje u KEV katalog predstavlja dovoljno ozbiljan signal da administratori ne bi trebali odgađati sigurnosnu nadogradnju.

Koliko je ranjivost CVE-2026-119977 ozbiljna?

Wordfence je ranjivosti dodijelio ocjenu 8,1 od 10 prema sustavu CVSS 3.1, što odgovara visokoj razini ozbiljnosti.

Takva ocjena proizlazi iz mogućih posljedica uspješnog napada: ugrožavanja povjerljivosti podataka, integriteta web-stranice i dostupnosti sustava.

S druge strane, službeni sigurnosni advisory WordPressova razvojnog tima ovu ranjivost klasificira kao Low, odnosno niske ozbiljnosti.

Na prvi pogled te dvije procjene djeluju proturječno.

Razlika proizlazi iz načina vrednovanja rizika. Iako posljedice uspješnog izvršavanja proizvoljnog koda mogu biti vrlo ozbiljne, zahtjevi za iskorištavanje ranjivosti znatno otežavaju napad.
WordPressovo upozorenje naglašava praktičnu teškoću iskorištavanja, dok Wordfenceova CVSS ocjena snažnije odražava potencijalne posljedice.
Za administratore je važnije razumjeti oba aspekta nego oslanjati se isključivo na jednu oznaku ozbiljnosti.

Zašto čak i instalacija sigurnosne zakrpe može biti osjetljiva?

Jedan od zanimljivijih detalja ove ranjivosti jest činjenica da se problem može pojaviti čak i tijekom instalacije zakrpe koja ga ispravlja.

Ako web-stranica trenutačno koristi ranjivu verziju WordPressa, primjerice 7.1.3, postupak nadogradnje na 7.1.4 pokreće postojeći kod.
To znači da se tijekom instalacije sigurnosnog ažuriranja stari, ranjivi mehanizam nadogradnje može izvršiti još jednom.
Nakon što WordPress uspješno prijeđe na zakrpanu verziju, buduće nadogradnje više ne bi trebale biti izložene istom propustu.

Wordfence zbog toga preporučuje da se ažuriranje ne odgađa, ali navodi i dodatnu preventivnu mjeru: prije nadogradnje moguće je blokirati javni pristup PHP datotekama u direktoriju /wp-content/upgrade/ na razini web-poslužitelja.

Važno je naglasiti da se time ne smije onemogućiti WordPressu korištenje tog direktorija za raspakiravanje i kopiranje datoteka.

Cilj je spriječiti vanjske HTTP zahtjeve prema privremenim instalacijskim skriptama, a ne ukloniti ili zaključati direktorij na datotečnom sustavu.

Koje su verzije WordPressa pogođene?

Prema Wordfenceovu sigurnosnom upozorenju, ranjivost CVE-2026-119977 zahvaća WordPress od verzije 4.7 do 7.1.3, uključujući odgovarajuće nezakrpane verzije pojedinih starijih grana.

WordPress je objavio i sigurnosne popravke za starije grane sustava.

Što je WordPress promijenio u verziji 7.1.4?

Sigurnosni popravak uključuje nekoliko promjena u mehanizmu nadogradnje.
Prema Patchstackovoj analizi izvornog koda, WordPress sada dodaje 16 nasumičnih znakova imenu privremene mape za raspakiravanje instalacijskog paketa.
Time se uklanja predvidljivost putanje koju su napadači mogli koristiti.
Dodatno je promijenjeno postupanje s datotekom index.php, koja služi kao zaštita od jednostavnog pregledavanja sadržaja direktorija. Ažurirani mehanizam više je ne uklanja na ranjivi način tijekom pripreme direktorija.
Treća promjena odnosi se na postupanje s datotekom wp-config.php, koja je dodana na popis datoteka koje se ne smiju kopirati iz privremene instalacijske mape.
Kombinacija ovih promjena uklanja konkretne uvjete koji su omogućavali opisani napad.

Što je s ostalih 21 ranjivosti?

Iako je RCE propust privukao najveću pozornost, WordPress 7.1.4 donosi i niz drugih sigurnosnih popravaka.

Prema Patchstacku, 22 ranjivosti obuhvaćene su kroz 17 sigurnosnih upozorenja, a velik dio problema odnosi se na stored cross-site scripting (XSS).
Stored XSS omogućuje da se zlonamjerni sadržaj pohrani na web-stranicu i naknadno izvrši u pregledniku korisnika koji ga otvori.

Kod pojedinih ranjivosti napadaču je potreban WordPress korisnički račun s ulogom Contributor ili višom. U drugim slučajevima potreban je dodatni uvjet, primjerice da urednik otvori posebno oblikovan sadržaj.

Interactivity API

Više pronađenih propusta povezano je s WordPressovim Interactivity API-jem, sustavom koji omogućuje interaktivno ponašanje blokova bez potrebe za zasebnim JavaScript aplikacijama.

Istraživači su otkrili načine na koje su posebno oblikovani atributi i podaci mogli zaobići očekivane sigurnosne provjere.
Posljedice su uključivale XSS napade i probleme s dostupnošću korisničkog sučelja.

Gutenberg blokovi i Customizer

Dodatni popravci obuhvaćaju pojedine blokove, uključujući Categories, Image, Playlist i navigacijske blokove za komentare.

Ispravljene su i ranjivosti u Customizeru, uključujući problem koji je neautoriziranim posjetiteljima mogao otkriti neobjavljene promjene.

Korisničke ovlasti

Jedan od popravaka odnosi se na pristup bilješkama povezanim s objavama.
U određenim konfiguracijama prilagođenih korisničkih uloga bilo je moguće čitati, mijenjati ili brisati bilješke uz objave za koje korisnik nije imao potrebna prava uređivanja.
Takvi propusti posebno su važni na složenijim WordPress instalacijama s više autora, urednika i prilagođenih korisničkih uloga.

Kako zaštititi WordPress stranicu?

Za većinu vlasnika stranica najvažniji je korak instalirati sigurnosno ažuriranje i provjeriti je li nadogradnja uspješno završila.
Administratori koji održavaju veći broj stranica trebali bi dodatno provjeriti postavke poslužitelja i tragove mogućih pokušaja napada.

1. Provjerite instaliranu verziju WordPressa

Prijavite se u administracijsko sučelje WordPressa i otvorite Nadzorna ploča → Ažuriranja.

Provjerite koju verziju sustava koristite. Ako je dostupno sigurnosno ažuriranje, preporučljivo ga je instalirati što prije.

Na poslužiteljima koji koriste WP-CLI, trenutačnu verziju moguće je provjeriti naredbom:

wp core version

Automatska ažuriranja mogu već biti instalirana, ali to nije razlog da se preskoči provjera. Automatski proces može zakazati zbog problema s dozvolama, prostorom na disku ili konfiguracijom poslužitelja.

2. Zaštitite direktorij za nadogradnju

Posebnu pozornost treba posvetiti direktoriju:

/wp-content/upgrade/

Preporuka je onemogućiti javni web-pristup tom direktoriju ili barem izvršavanju PHP datoteka unutar njega.
To se može postići odgovarajućim pravilima web-poslužitelja, primjerice na Apacheu ili Nginxu.

Samo onemogućavanje prikaza popisa datoteka u direktoriju nije dovoljno ako se pojedinoj PHP skripti i dalje može pristupiti izravnim URL-om.

Postavke treba prilagoditi konkretnoj konfiguraciji hostinga, vodeći računa o tome da WordPress mora zadržati mogućnost čitanja i pisanja privremenih datoteka tijekom nadogradnje.

Na dijeljenom hostingu, gdje korisnik nema pristup konfiguraciji web-poslužitelja, najbolje je od pružatelja hostinga zatražiti potvrdu da javni pristup instalacijskim skriptama u tom direktoriju nije dopušten.

3. Provjerite pristupne zapisnike poslužitelja

Ako imate pristup Apache ili Nginx zapisnicima, korisno je pregledati zahtjeve upućene na putanje koje sadrže:

• /wp-content/upgrade/
• setup-config.php
• neočekivane PHP datoteke u privremenim direktorijima za nadogradnju

Posebnu pozornost zaslužuju ponavljajući zahtjevi za vrijeme kada je WordPress izvršavao nadogradnju.
Pojedinačni zapis nije sam po sebi dokaz kompromitacije. Za procjenu je potrebno uzeti u obzir vrijeme zahtjeva, HTTP odgovor, stanje datoteka i ostale događaje na poslužitelju.

Ako postoje ozbiljni pokazatelji neovlaštenog pristupa, potrebno je napraviti sigurnosnu analizu prije oslanjanja na postojeće datoteke i korisničke račune.

4. Pregledajte korisničke račune i datoteke

Budući da dio ostalih ranjivosti zahtijeva korisničke ovlasti, preporučljivo je provjeriti račune koji imaju pristup administraciji ili uređivanju sadržaja.
Posebno obratite pozornost na nepoznate administratorske račune i nepotrebno visoke korisničke ovlasti.
Ako sumnjate na kompromitaciju, pregledajte i nedavno izmijenjene PHP datoteke, neočekivane dodatke te moguće zlonamjerne skripte.
Brisanje sumnjive datoteke bez razumijevanja načina na koji je napad izveden nije nužno dovoljno. Napadač može ostaviti više mehanizama za ponovni pristup.

5. Ne oslanjajte se isključivo na sigurnosni dodatak

Wordfence je 28. listopada objavio posebno firewall pravilo za korisnike plaćenih paketa Premium, Care i Response.
Prema objavi od 5. studenoga, korisnici besplatne verzije trebali bi dobiti isto pravilo 27. studenoga 2026.

No, budući da napad cilja samostalne PHP skripte u privremenom direktoriju, zahtjev ne mora proći kroz uobičajeno učitavanje WordPressa.
Wordfence zbog toga navodi da je za zaštitu od ovog napada potreban optimizirani vatrozid u načinu Extended Protection.
Drugim riječima, sama činjenica da je sigurnosni dodatak instaliran ne jamči da će presresti ovu vrstu zahtjeva.
Pravila na razini web-poslužitelja predstavljaju važan dodatni sloj zaštite.

Je li WordPress 7.2 također pogođen?

Dok administratori instaliraju sigurnosnu zakrpu, razvoj sljedeće velike verzije WordPressa nastavlja se prema planu.

WordPress 7.2 Beta 3 objavljen je 28. listopada, zajedno sa sigurnosnim izdanjem 7.1.4, te uključuje odgovarajuće popravke.

U međuvremenu je 3. studenoga objavljen i WordPress 7.2 Beta 4.
Prema službenom rasporedu, konačno izdanje WordPressa 7.2 planirano je za 8. prosinca 2026.
Beta izdanja namijenjena su testiranju i razvoju te ih ne treba instalirati na produkcijske web-stranice.

Za postojeće stranice trenutačni prioritet nije prelazak na razvojnu verziju 7.2, nego instalacija odgovarajuće stabilne sigurnosne zakrpe.

Zaključak: WordPress treba ažurirati, ali važna je i konfiguracija poslužitelja

Sigurnosno izdanje WordPress 7.1.4 podsjeća na to da ranjivosti ne moraju biti povezane samo s dodacima, temama ili korisničkim prijavama.
U ovom slučaju problem je pronađen u samom mehanizmu nadogradnje, procesu koji se inače smatra osnovnim dijelom održavanja sigurnosti web-stranice.

Iako je iskorištavanje ranjivosti CVE-2026-119977 tehnički zahtjevno, veliki broj automatiziranih pokušaja napada i CISA-ina potvrda aktivnog iskorištavanja pokazuju da se ne radi samo o teoretskom problemu.

Za vlasnike WordPress stranica najvažnije je provjeriti instaliranu verziju, primijeniti sigurnosno ažuriranje i osigurati da privremene instalacijske datoteke nisu dostupne javnosti.

Za administratore koji održavaju veći broj instalacija ovo je i prilika da provjere postavke automatskih nadogradnji, konfiguraciju web-poslužitelja i način nadzora sigurnosnih događaja.

Redovito ažuriranje ostaje jedan od temelja WordPress sigurnosti. No ovaj slučaj pokazuje da je jednako važno razumjeti što se događa na poslužitelju dok se ta ažuriranja izvršavaju.

---

Izvori

• WordPress.org – WordPress 7.1.4, službena sigurnosna objava
• Patchstack – WordPress 7.1.4 Security Release
• Wordfence – Attackers Actively Probing for Upgrade-Window RCE Vulnerability
• WordPress GitHub – sigurnosni advisory GHSA-4w3m-c66w-69mg
• CISA – Known Exploited Vulnerabilities, CVE-2026-119977
• WordPress.org – WordPress 7.2 Beta 4