V populárním optimalizačním pluginu WP Rocket byla identifikována vysoce závažná zranitelnost umožňující nepřihlášenému útočníkovi narušit dostupnost webových stránek prostřednictvím speciálně připravených požadavků.
WP Rocket slouží k optimalizaci výkonu WordPressu, správě mezipaměti, optimalizaci CSS a JavaScriptu a dalším funkcím zrychlujícím načítání webových stránek.
Zranitelnost je klasifikována jako CWE-624 – Executable Regular Expression Error.
Příčinou je nedostatečně zabezpečené zpracování regulárních výrazů, které může umožnit ovlivnění jejich vyhodnocování prostřednictvím uživatelských vstupů.
Mechanismus zneužití
Podle zveřejněného bezpečnostního záznamu může útočník vzdáleně vyvolat chybu při zpracování regulárního výrazu.
Útok nevyžaduje přihlášení, žádná uživatelská oprávnění ani interakci administrátora.
Zveřejněný CVSS vektor uvádí nízkou složitost útoku a vysoký dopad na dostupnost systému.
Bezpečnostní záznam používá také označení Code Injection. Je však důležité upozornit, že dostupné technické informace nepotvrzují možnost vzdáleného spuštění libovolného PHP kódu ani úplného převzetí WordPressu.
Potvrzeným rizikem podle hodnocení CVSS je narušení dostupnosti.
Konkrétní zranitelný endpoint ani způsob sestavení útočného požadavku nebyly v dostupném veřejném záznamu podrobně popsány.
Možné následky
Úspěšné zneužití může způsobit:
- Narušení dostupnosti WordPress webu.
- Dočasnou nedostupnost některých funkcí nebo celého webu.
- Nadměrné zatížení serverových prostředků.
- Zpomalení zpracování HTTP požadavků.
- Provozní problémy u e-shopů a dalších webů závislých na nepřetržité dostupnosti.
Zvlášť významné může být riziko pro WooCommerce e-shopy, kde výpadek webu může přímo ovlivnit objednávkový proces a dostupnost produktového katalogu.
Zveřejněný CVSS vektor neuvádí přímý dopad na důvěrnost ani integritu dat.
Závažnost a stav zneužívání
Patchstack hodnotí zranitelnost CVSS 7.5/10.
Zranitelnost lze podle zveřejněného hodnocení zneužít vzdáleně bez autentizace a bez interakce uživatele.
K 10. říjnu 2026 nebylo potvrzeno aktivní zneužívání v reálných útocích ani zveřejnění funkčního veřejného exploitu.
Riziko vyplývá především z dostupnosti zranitelné funkcionality nepřihlášeným návštěvníkům a možného dopadu na provoz webových stránek.
Dostupnost bezpečnostní opravy
Bezpečnostní oprava je dostupná ve verzi WP Rocket 3.23.5.
Výrobce WP Media vydal tuto verzi 1. října 2026.
Oficiální changelog uvádí několik bezpečnostních úprav, mimo jiné zabezpečení zpracování neočekávaných hodnot při práci s funkcionalitou Above the Fold a LCP.
Následně byla 2. října 2026 vydána také verze 3.23.5.1, která obsahuje další opravy.
Doporučujeme instalovat nejnovější dostupné vydání, nikoliv pouze minimální opravenou verzi.
Doporučené kroky
- Bezodkladně aktualizovat WP Rocket minimálně na verzi 3.23.5, ideálně na nejnovější dostupnou verzi.
- U webů, které provozovaly postižené verze, doporučujeme prověřit serverové logy a případné neobvyklé výpadky nebo výrazné zpomalení webu.
- Zkontrolovat případné neobvyklé množství HTTP požadavků a zvýšené využití procesorového výkonu nebo paměti serveru.
- Prověřit PHP error logy a vyhledat neobvyklé chyby související se zpracováním regulárních výrazů.
- Doporučujeme ověřit, zda aktualizace proběhla úspěšně a zda web používá skutečně opravenou verzi pluginu.
- Po aktualizaci je vhodné vymazat mezipaměť WP Rocket a ověřit správnou funkčnost optimalizačních mechanismů.
- Pokud aktualizace není okamžitě možná, doporučujeme zvážit dočasnou deaktivaci pluginu. Případná ochrana prostřednictvím WAF by měla vycházet z ověřeného pravidla pro tuto konkrétní zranitelnost.
- U WooCommerce e-shopů doporučujeme po aktualizaci ověřit funkčnost produktového katalogu, košíku a objednávkového procesu.
Důležité: Dostupné informace nepotvrzují přímou možnost získání databázových údajů, instalace škodlivého kódu ani převzetí administrátorského účtu. Hlavním potvrzeným bezpečnostním rizikem je narušení dostupnosti webových stránek.
Zdroj: https://nvd.nist.gov/vuln/detail/CVE-2026-97076
