IT prehľad dňa – 19. september 2026
1. WordPress záplatuje Click2Shell – kliknúť na odkaz môže stačiť na spustenie kódu na serveri
WordPress 7.1.1 (vydaný 17. septembra) opravuje zraniteľnosť nazvanú Click2Shell, ktorá postihuje WordPress 6.0 až 7.1.0. Chyba spočíva v tom, že špeciálne zostavený odkaz môže prinútiť prehliadač prihláseného administrátora automaticky nainštalovať tému z WordPress.org bez akéhokoľvek kliknutia na tlačidlo – WordPress.org a prehliadač administrátora interpretujú rovnaké URL odlišne a útočník toto rozdiely využíva vo vlastný prospech. Samotná inštalácia témy dosahuje CVSS 7.1 (High), no výskumníci demonštrovali, že v kombinácii s ďalšou chybou v jednej konkrétnej téme sa útočný reťazec dostáva na CVSS 9.6 (Critical) a umožňuje spustenie ľubovoľného kódu priamo na serveri. Aktívne zneužívanie v praxi zatiaľ potvrdené nebolo, no proof-of-concept je zverejnený.
Prečo je to zaujímavé: WordPress poháňa väčšinu webov malých a stredných firiem. Stačí, aby administrátor webu klikol na odkaz – napríklad v phishingovom e-maile alebo v podvrhnutom firemnom chate – a útočník môže získať plnú kontrolu nad serverom, na ktorom web beží. Oprava je dostupná bezplatne v rámci štandardnej aktualizácie WordPress 7.1.1; staršie podporované vetvy tiež dostali záplaty späť až po verziu 4.7. Ak váš web spravuje agentúra alebo externý dodávateľ, je čas overiť, či aktualizácia prebehla.
2. Aktívne zneužívaná chyba v Acronis zálohovacom plugine pre cPanel a Plesk – CISA deadline dnes
CISA nariadila federálnym agentúram záplatovať do dnešného dňa (19. septembra) zraniteľnosť CVE-2026-87886 (CVSS 7.8) v Acronis Backup plugine pre cPanel & WHM a v Acronis Backup rozšírení pre Plesk (oba na Linuxe). Chyba spočíva v nesprávne nastavených oprávneniach na súboroch: útočník s bežným nízkoprivilegovaným prístupom na server môže eskalovať oprávnenia a spustiť ľubovoľný kód, čo mu dáva plnú kontrolu nad serverom a potenciálne aj nad zálohami uloženými na ňom. Záplata je dostupná v Acronis Backup for cPanel verzia 1.9.3 HF3 a v Acronis Backup for Plesk build 1.8.11.638 a novšom.
Prečo je to zaujímavé: cPanel a Plesk sú najrozšírenejšie webhosting administračné rozhrania – používajú ich prakticky všetky SME firmy, ktoré prevádzkujú vlastný webový server alebo zdieľaný hosting. Acronis Backup je pritom obľúbené zálohovacie riešenie práve v tomto segmente. Aktívne zneužívanie v cielených útokoch signalizuje, že útočníci túto chybu aktívne skenujú a zneužívajú. Ak váš server (alebo server vášho hostingového poskytovateľa) používa Acronis zálohovanie pre cPanel alebo Plesk, kontaktujte administrátora a overte nainštalovanie záplaty – bezodkladne.
3. Opustená CDN doména znovu zaregistrovaná – tisíce webov stále načítavajú obsah od neznámeho vlastníka
Bezpečnostní výskumníci upozornili na scenár, ktorý nápadne pripomína prípad polyfill.io z roku 2024: CDN doména, na ktorú tisíce webových stránok, repozitárov a dokumentácií mali natvrdo zakódované referencie, expirovala a bola zaregistrovaná novým majiteľom. Nový vlastník teraz plne kontroluje celú doménu vrátane wildcard DNS – čokoľvek na nej umiestni, to prehliadač návštevníkov načíta ako súčasť dôveryhodného webu. Momentálne stránka zobrazuje len reklamy, no situácia sa môže kedykoľvek zmeniť: tá istá infraštruktúra môže byť využitá na distribúciu malvéru alebo kradnutie prihlasovacích údajov návštevníkov.
← Všetky príspevkyPrečo je to zaujímavé: Mnohé SME weby vznikali pred rokmi a odvtedy ich nikto dôkladne neauditoval – zastarané CDN URL v HTML šablóne alebo v starom plugine sú bežná vec. Stačí jedno takéto URL a bezpečnosť celého webu je závislá od cudzieho vlastníka domény. Odporúčanie je konkrétne: (1) skontrolujte všetky externé skripty a štýly na vašom webe (Chrome DevTools → záložka Network alebo Sources) a (2) zvážte zavedenie Content Security Policy (CSP) v report-only móde – ide o jednoduchý HTTP hlavičkový parameter, ktorý odhalí neoprávnené skripty bez toho, aby čokoľvek na webe rozbil. Tento prípad je dobrým dôvodom, prečo sa bezpečnostné audity webov oplatia aspoň raz ročne.