WordPressi turvauuendus 7.1.4 (oktoober 2026)

🎧 Podcast · Varvara

Lühidalt: WordPress 7.1.4 (28.10.2026) on turvauuendus, mis parandab koodi kaugkäivitamise, XSS- ja õiguste vead. Paigalda oma haru viimane turvaversioon, uuenda või eemalda Bricksforge, Prime Mover, WPOrLogin ja Stape ning tee enne uuendamist varukoopia.

WordPress 7.1.4 ilmus 28. oktoobril 2026 ja on turvauuendus: see parandab muu hulgas koodi kaugkäivitamise (RCE) riski, mitu salvestatud XSS-viga plokkides ja Interactivity API-s ning kommentaaride modereerija õiguste vea. WordPress soovitab uuendada kohe. Samal nädalal leiti mitu kriitilist turvaauku ka populaarsetes pluginates ning ühte neist (Bricksforge) kasutatakse juba rünnakutes. Siin on kokkuvõte Eesti ettevõtjale: mis juhtus, keda see puudutab ja mida täna teha.

Mida WordPress 7.1.4 parandab?

Koodi kaugkäivitamine (RCE): kõige ohtlikum vealiik, mille kaudu võib ründaja saada kontrolli kogu kodulehe üle.
Salvestatud XSS mitmes plokis ja Interactivity API funktsioonides: pahatahtlik skript võib jääda lehe sisse ja käivituda külastaja või administraatori brauseris.
Õiguste viga kommentaaride modereerija rollis.
Info lekkimine ja autoriseerimise nõrkused, mis võimaldavad näha või muuta andmeid, millele kasutajal ligipääsu ei tohiks olla.

Parandatud vigade arv on allikates erinev (13–22), sest osa vigu puudutab ainult uuemaid versioone. Oluline on see, et WordPress on parandused tagasi toonud ka vanematesse harudesse: 28. oktoobril ilmus näiteks ka versioon 6.0.18. Seega ei pea iga koduleht kohe hüppama 7.x peale, kuid oma haru viimane turvaversioon peab olema paigaldatud.

Kuidas kontrollida, kas sinu koduleht on uuendatud?

Logi halduspaneeli ja ava Töölaud → Uuendused. Kui seal on „Saadaval on uus WordPressi versioon“, ei ole sinu leht ajakohane.
Ava Tööriistad → Saidi tervis: see näitab ka WordPressi, PHP ja pluginate versioone. Vaata meie juhendit WordPress Health Check ehk Saidi tervis.
Kontrolli, kas automaatsed turvauuendused on sees. Vaikimisi paigaldab WordPress väiksemad turvaversioonid ise, kuid paljud majutused ja pluginad lülitavad selle välja.
Enne uuendamist tee varukoopia ja kontrolli pärast uuendust kontaktvormi, e-poe ostukorvi ja makseid.

Kriitilised pluginate turvaaugud sel nädalal

Bricksforge: turvaauku kasutatakse juba rünnakutes

Bricks Builderi lisaplugina Bricksforge viga (CVE-2026-85097, CVSS 9,8–10) lubab ründajal ilma sisselogimata laadida serverisse PHP-faili ja selle käivitada, ehk sisuliselt üle võtta kogu kodulehe. Patchstack nägi esimesi ründekatseid juba 7. oktoobril. Ohus on versioonid kuni 3.1.8.9, parandus on versioonis 3.1.8.10.

Prime Mover (varundamine ja kolimine)

PHP objekti süstimise viga (CVE-2026-115806, CVSS 9,8) kõigis versioonides kuni 2.2.1. Ründaja saab pahatahtliku objekti peita tavalise kommentaari kaudu ja see käivitub siis, kui administraator teeb ekspordi või taastamise.

WPOrLogin

Viga (CVE-2026-110691) laseb sisselogimata ründajal muuta sisselogimise aadressi ja administraatori kodulehelt välja lukustada. Parandus on versioonis 3.1.0.

Stape ja kümned muud pluginad

Plugin Stape eemaldati 13. oktoobril WordPress.org kataloogist ja uut versiooni ei ole, seega tuleks see eemaldada või asendada. Ainuüksi 22.–24. oktoobril avaldati üle 50 uue CVE pluginate kohta. Enamikku neist ei ole veel rünnakutes nähtud, kuid see muutub tavaliselt kiiresti pärast vea avalikuks tulekut.

Mida teha täna: kontrollnimekiri

Uuenda WordPress oma haru viimasele turvaversioonile (7.1.4 või vanema haru vastav väljalase).
Kui kasutad Bricksforge’i, Prime Moverit või WPOrLoginit, uuenda need kohe või lülita välja.
Kustuta mitteaktiivsed pluginad ja teemad: ka välja lülitatud plugina failid on serveris.
Kontrolli administraatori kontosid: kas on tekkinud kasutajaid, keda sa ei tunne?
Veendu, et varukoopiad tehakse automaatselt ja neid hoitakse väljaspool serverit.
Uuenda ka PHP versiooni, kui majutaja pakub turvaparandusega versiooni.

Kui koduleht juba käitub kummaliselt (võõrad lingid, ümbersuunamised, uued administraatorid), vaata häkitud kodulehe parandamise teenust. Kui soovid, et uuendused oleks alati turvaliselt tehtud ja testitud, vaata WordPressi uuendamist ja igakuist WordPressi hooldust. Samal nädalal: mida toob WordPress 7.2 ja brauserite uudised veebiarendajale.

Korduma kippuvad küsimused

Mis on WordPress 7.1.4?

See on 28. oktoobril 2026 ilmunud WordPressi turvauuendus, mis parandab koodi kaugkäivitamise riski, mitu salvestatud XSS-viga ja õiguste vigu. WordPress soovitab uuendada kohe.

Kas pean kohe uuendama WordPress 7.x peale?

Mitte tingimata. WordPress toob turvaparandused ka vanematesse harudesse. Oluline on paigaldada oma haru viimane turvaversioon. Suurema versiooni vahetus tasub enne testida koopial.

Kuidas teada, kas minu koduleht kasutab ohtlikku pluginat?

Ava halduspaneelis Pluginad ja otsi nimesid Bricksforge, Prime Mover, WPOrLogin ja Stape. Kontrolli ka Saidi tervise vahekaarti Info, kus on kõigi pluginate versioonid.

Kas automaatsed uuendused on turvalised?

Väiksemad turvaversioonid on üldjuhul turvalised. Pluginate ja suuremate versioonide automaatne uuendamine võib aga lõhkuda kujunduse või e-poe, seega on soovitatav varukoopia ja kontroll pärast uuendust.

Mida teha, kui koduleht on juba häkitud?

Ära kustuta midagi enne, kui on tehtud koopia. Vaheta paroolid, kontrolli kasutajaid ja võta ühendust arendajaga, kes puhastab failid, leiab sissetungi koha ja uuendab tarkvara.

Ei ole kindel, kas sinu koduleht on ohus? Tee tasuta kodulehe audit või kirjuta meile ja kontrollime WordPressi, pluginad ja PHP versiooni üle.

Allikad

Sildid Turvalisus, Uudised, WordPress