Cenueshmëritë e WordPress lënë 43 dobësi pa patch
Cenueshmëritë e WordPress të publikuara nga 19 deri më 25 tetor 2026 prekën 182 plugins dhe 15 themes, sipas Wordfence Intelligence. Gjatë javës, në databazën e saj u shtuan 268 cenueshmëri, përfshirë 43 që mbetën pa patch në momentin e regjistrimit. 225 të tjerat u listuan si të korrigjuara me patch. Wordfence ua atribuoi publikimet 124 studiuesve kontribuues të cenueshmërive.
Niveli i ashpërsisë ishte i përqendruar në intervalet e mesme dhe të larta: shtatë cenueshmëri ishin kritike, 69 me ashpërsi të lartë, 186 me ashpërsi mesatare dhe gjashtë me ashpërsi të ulët. Këto vlerësime përdorin Common Vulnerability Scoring System (CVSS), një shkallë standarde për vlerësimin e seriozitetit teknik të një dobësie sigurie. Një CVE, ose identifikues Common Vulnerabilities and Exposures, i jep një dobësie të dokumentuar publikisht një numër unik reference. Një rezultat i lartë nuk konfirmon vetvetiu se sulmuesit e kanë shfrytëzuar një cenueshmëri dhe Wordfence nuk raportoi shfrytëzim të konfirmuar për dobësitë e theksuara këtu.
Të shtatë cenueshmëritë kritike të WordPress kishin patch-e të disponueshme. Advanced Custom Fields: Extended dhe edicioni i tij Pro prekeshin nga unauthenticated remote code execution deri në versionin 0.9.2.7 (CVE-2026-94267), që do të thotë se një sulmues nuk do të kishte nevojë të identifikohej përpara se të përpiqej të ekzekutonte kod. Versioni 0.9.2.7 kishte gjithashtu një dobësi unauthenticated account-takeover privilege escalation (CVE-2026-94268). Edicioni falas deri në versionin 0.9.2.7 prekej veçmas nga unauthenticated arbitrary file deletion (CVE-2026-112311). Të tria u vlerësuan kritike; dy të parat morën rezultatin 9.8, ndërsa problemi i fshirjes mori 9.1.
Gjetjet e tjera kritike ishin Prime Mover deri në versionin 2.2.1, me unauthenticated PHP object injection gjatë migration search and replace të një komenti të koduar me Base64 (CVE-2026-115806); WP Mailster deri në versionin 1.9.1.0, me unauthenticated arbitrary file upload (CVE-2026-111832); versionet 5.0.0 deri në 5.0.52 të YOOtheme Pro, gjithashtu me unauthenticated arbitrary file upload (CVE-2026-102785); dhe weForms deri në versionin 1.6.28, me unauthenticated arbitrary file deletion (CVE-2026-111833). Secila mori rezultatin 9.8, përveç problemit të weForms, i cili mori 9.1. PHP object injection ndodh kur të dhënat e pasigurta rikthehen në një objekt software, duke shkaktuar potencialisht sjellje të paqëllimshme të aplikacionit.
Ndër 69 gjetjet me ashpërsi të lartë, shembujt e korrigjuar me patch përfshinin unauthenticated PHP object injection në Duplicator deri në versionin 1.5.17 dhe Duplicator Pro deri në versionin 4.6.10 (CVE-2026-82814), SQL injection në Ajax Search Lite deri në versionin 4.14.6 (CVE-2026-111852) dhe authentication bypass në Royal MCP përpara versionit 1.5.7 (CVE-2026-111958). SQL injection është përdorimi i input-eve të përgatitura posaçërisht për të manipuluar komandat e databazës së një faqeje interneti. Raste të tjera me ashpërsi të lartë dhe të korrigjuara me patch përfshinin remote code execution në Royal Addons for Elementor deri në versionin 1.7.1068, arbitrary PHP code execution në Classified Listing deri në versionin 6.1.5 dhe dy dobësi stored cross-site scripting në LiteSpeed Cache përpara versionit 7.9.2. Stored cross-site scripting vendos kod armiqësor për browser në përmbajtje që më vonë u shfaqet vizitorëve ose administratorëve.
Disa produkte me dobësi me ashpërsi të lartë ishin ende pa patch. Wordfence listoi unauthenticated local file inclusion në Academist Core deri në versionin 1.4.1 dhe Your Dress deri në versionin 1.4.1. Participants Database deri në versionin 2.7.8.5 kishte gjetje të veçanta për unauthenticated PHP object injection dhe SQL injection. EventON Subscriber deri në versionin 1.4.5 kishte unauthenticated SQL injection përmes parametrit të tij email. PHP object injection pa patch prekte gjithashtu produktet Hallelujah, Helion, Holistic Center, Hostme v2, HotLock, Little Birdies, Redy, Reprizo, Rhodos, Save Life, Vagabonds dhe ZenSoul në versionet e prekura të specifikuara. Hostme v2 deri në versionin 7.0 dhe KALLYAS deri në versionin 4.25.0 kishin gjithashtu gjetje stored cross-site scripting pa patch.
Kategoria më e zakonshme e dobësive ishte missing authorization, me 75 gjetje. Improper neutralization of input during web-page generation përbënte 69 raste, e ndjekur nga deserialization of untrusted data me 20, authorization bypass through a user-controlled key me 16 dhe improper handling of special elements in SQL commands me 13. Client-side enforcement of server-side security u shfaq 11 herë, sensitive information exposure 10 herë dhe improper privilege management tetë herë. Kategoritë e mbetura përfshinin improper control of code generation (shtatë), improper authentication (gjashtë), cross-site request forgery (pesë), incorrect authorization (pesë), insufficient verification of data authenticity (pesë), PHP include or require filename control (katër), path restriction failures (katër), dangerous file uploads (katër), improper input validation (dy), si dhe nga një rast për guessable CAPTCHA, improper authorization, improper link resolution dhe uncontrolled resource consumption.
Wordfence vendosi gjithashtu një firewall rule për një problem të UpdraftPlus që prek versionet deri në 1.26.11 dhe që përshkruhet si UDRPC key compromise. Një web application firewall filtron kërkesat përpara se ato të arrijnë kodin e cenueshëm të faqes së internetit. Klientët e Wordfence Premium, Care dhe Response e morën menjëherë këtë rule, ndërsa plugin falas ishte planifikuar ta merrte pas një vonese prej 30 ditësh. Një firewall rule është një shtresë shtesë mbrojtjeje, jo një zëvendësim për instalimin e përditësimit të sigurisë nga ofruesi.
Wordfence thotë se scanner-i i tij duhet të njoftojë faqet që përdorin plugin me scanning të aktivizuar kur software-i i instaluar përputhet me një hyrje në databazë. Ndërfaqja e tij për cenueshmëritë, application programming interface (API) dhe integrimi webhook janë të disponueshme pa pagesë për përdorim personal dhe komercial. API mund të ofrojë një kopje të databazës që përmban më shumë se 40,000 cenueshmëri, ndërsa webhooks mund të dërgojnë përditësime kur hyrjet shtohen ose ndryshohen. Një webhook është një mesazh automatik që dërgohet nga një shërbim te një tjetër kur ndodh një ngjarje.
Pronarët e faqeve duhet të krahasojnë versionet e instaluara të plugins dhe themes me intervalet e prekura, të aplikojnë përditësimet e disponueshme dhe të heqin software-in që nuk nevojitet më. Për një komponent pa patch, çaktivizimi dhe zëvendësimi i tij është më i sigurt sesa lënia e tij të ekspozuar, veçanërisht kur dobësia nuk kërkon identifikim. Përpara përditësimit ose heqjes së software-it të rëndësishëm të faqes, krijoni një backup që mund të rikthehet dhe, kur është e mundur, testoni ndryshimet. Për lexuesit që duan që shtresa e hosting të menaxhohet si shërbim, AEU Hosting ofron managed WordPress hosting të siguruar nga fillimi në fund.
Vëllimi i publikimeve tregon gjithashtu pse kontrollimi vetëm i WordPress core nuk mjafton. Plugins dhe themes zgjerojnë funksionet që mund të kryejë një faqe, por çdo komponent i instaluar shton kod që duhet monitoruar, përditësuar dhe, kur nuk ka patch, çaktivizuar ose zëvendësuar menjëherë.