Během několika měsíců se objevily dvě rodiny kritických zranitelností, PHP2SHELL přímo v PHP a WP2SHELL v jádru WordPressu. Obě mohou vést ke vzdálenému spuštění kódu bez jakéhokoli přihlášení. Tady je, co jsme s nimi udělali.
PHP2SHELL, záplata je na všech našich webserverech
PHP2SHELL je označení pro dvě kritické zranitelnosti v PHP, CVE-2026-109618 a CVE-2026-109619. Projekt PHP vydal bezpečnostní záplatu 21. října 2026 a my ji už máme nasazenou na všech našich webserverech. PHP 8.1 a starší jsou potenciálně zranitelné. Naše ochranná vrstva WGP detekuje a blokuje probíhající útoky zneužívající nové kritické PHP zranitelnosti ještě před vaší aplikací. Za první den jsme takto odrazili desítky tisíc požadavků.
Opravené verze jsou PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35.
Weby na starších verzích PHP se budeme i nadále snažit chránit. Aktualizace PHP ale není jen doporučení, je nezbytná a musí proběhnout neprodleně.
WP2SHELL, nové WAF pravidlo
WP2SHELL je exploit pro vzdálené spuštění kódu v jádru WordPressu, který nevyžaduje přihlášení. Kombinuje dvě zranitelnosti.
- CVE-2026-63030, záměna batch route ve WordPress REST API
- CVE-2026-60137, SQL injection ve WP_Query
Útočník nepotřebuje účet ve WordPressu ani platné přihlašovací údaje. Úspěšné zneužití může vést k přístupu do databáze, vytvoření administrátorského účtu, nahrání škodlivého PHP kódu a nakonec k úplnému převzetí webu.
Ochranu jsme nasadili ihned po zjištění zranitelnosti. Nové WAF pravidlo ve WEDOS Protection blokuje endpoint WordPress REST API pro dávkové požadavky, který se při útoku používá, /wp-json/batch/v1, a také alternativní variantu s parametrem rest_route=/batch/v1. Ostatní endpointy REST API ani běžný provoz webu pravidlo neovlivňuje.
Aktualizace WordPressu není jen doporučení. Je nezbytná a musí proběhnout neprodleně.
WAF pravidlo blokuje známou cestu útoku. Jedinou úplnou opravou je aktualizace.
Pokud váš web batch endpoint používá
V běžných instalacích WordPressu se batch endpoint používá zřídka, legitimně ho ale může využívat plugin, externí aplikace nebo vlastní integrace. Pokud blokování omezí některou funkci vašeho webu, ozvěte se nám a pravidlo pro vaši doménu individuálně vypneme.
Vypnout ho můžeme jen tehdy, když web běží na verzi WordPressu s bezpečnostními opravami.
- WordPress 6.8.6 nebo novější ve větvi 6.8
- WordPress 6.9.5 nebo novější ve větvi 6.9
- WordPress 7.0.2 nebo novější
Pokud používáte starší zasaženou verzi, aktualizujte WordPress bez odkladu.
Aktualizace je pořád na prvním místě
WAF pravidlo je další vrstva ochrany ve WEDOS Protection. Aktualizaci jádra WordPressu ani PHP nenahrazuje. WGP vám dává čas na aktualizaci, samotná aktualizace je ale pořád na vás.