Vulnerabilitetet e WordPress arrijnë në 268 në plugin dhe theme
Vulnerabilitetet e WordPress të bëra publike nga 19 deri më 25 tetor 2026 arritën në 268, në 182 plugin dhe 15 theme, sipas shtesave në Wordfence Intelligence Vulnerability Database. Nga këto dobësi, 225 kishin patch dhe 43 mbetën pa patch. Raportimet përfshinin shtatë probleme kritike, 69 me rrezikshmëri të lartë, 186 me rrezikshmëri mesatare dhe gjashtë me rrezikshmëri të ulët, ndërsa 124 hulumtues të vulnerabiliteteve kontribuuan me gjetje gjatë javës.
Vlerësimet e rrezikshmërisë përdorin CVSS, Common Vulnerability Scoring System, i cili cakton një rezultat nga 0 në 10 për të treguar sa serioze mund të jetë një dobësi sigurie. Të shtatë vulnerabilitetet kritike u vlerësuan me 9.8 ose 9.1 dhe u listuan si të korrigjuara. Advanced Custom Fields: Extended dhe edicioni i tij Pro deri dhe në versionin 0.9.2.7 kishin një dobësi remote code execution pa nevojë për autentikim, CVE-2026-94267, që do të thotë se një sulmues mund të ekzekutonte kod pa u identifikuar më parë. Versioni 0.9.2.7 prekej gjithashtu nga account takeover dhe privilege escalation, ku një sulmues fiton leje që nuk duhet t’i ketë, sipas CVE-2026-94268. Edicioni falas deri dhe në versionin 0.9.2.7 kishte gjithashtu një problem arbitrary file deletion, CVE-2026-112311. Këto raportime u publikuan nga 20 deri më 23 tetor.
Problemet e tjera kritike ishin CVE-2026-115806 në Prime Mover deri dhe në versionin 2.2.1, që përfshinte PHP object injection përmes një komenti të koduar me Base64 gjatë kërkimit dhe zëvendësimit në migrim; CVE-2026-111832 në WP Mailster deri dhe në versionin 1.9.1.0, që lejonte arbitrary file uploads; CVE-2026-102785 në versionet 5.0.0 deri në 5.0.52 të YOOtheme Pro, që gjithashtu lejonte arbitrary file uploads; dhe CVE-2026-111833 në weForms deri dhe në versionin 1.6.28, që lejonte arbitrary file deletion. PHP object injection është përpunimi i pasigurt i të dhënave të ndërtuara posaçërisht, i cili mund ta bëjë një aplikacion të kryejë veprime të padëshiruara. Këto katër dobësi u publikuan nga 19 deri më 22 tetor dhe u shënuan si të korrigjuara.
Disa vulnerabilitete me rrezikshmëri të lartë nuk kishin patch kur u regjistruan në databazë. Academist Core deri dhe në versionin 1.4.1 kishte local file inclusion pa nevojë për autentikim, CVE-2026-112820, që mund ta detyronte sajtin të ngarkonte një skedar lokal që nuk duhej të ishte i arritshëm. Participants Database deri dhe në versionin 2.7.8.5 kishte edhe PHP object injection, CVE-2026-112862, edhe SQL injection, CVE-2026-112860. SQL injection do të thotë se komanda armiqësore për databazën mund të futen përmes input-it që nuk është mbrojtur siç duhet. EventON Subscriber deri dhe në versionin 1.4.5 kishte një tjetër dobësi SQL injection pa nevojë për autentikim, CVE-2026-93300, që përfshinte parametrin e tij email.
Një grup dobësish PHP object injection pa patch prekte Hallelujah deri dhe në versionin 1.1.1, Helion deri dhe në versionin 1.1.12, Holistic Center deri dhe në versionin 1.2.6, Hostme v2 deri dhe në versionin 7.0, HotLock deri dhe në versionin 1.3.9, Little Birdies deri dhe në versionin 1.3.16, Redy deri dhe në versionin 1.3.5, Reprizo deri dhe në versionin 1.0.8, Rhodos deri dhe në versionin 1.3.3, Save Life deri dhe në versionin 1.2.14, Vagabonds deri dhe në versionin 1.3.10 dhe ZenSoul deri dhe në versionin 1.13. Hostme v2 deri dhe në versionin 7.0 kishte gjithashtu stored cross-site scripting pa patch, CVE-2026-112849, ndërsa KALLYAS deri dhe në versionin 4.25.0 kishte të njëjtën dobësi sipas CVE-2026-112863. Stored cross-site scripting lejon që kodi keqdashës për browser të ruhet nga një sajt dhe më pas t’u dërgohet vizitorëve ose administratorëve. Your Dress deri dhe në versionin 1.4.1 kishte local file inclusion pa patch, CVE-2026-112850.
Gjetjet me rrezikshmëri të lartë që kishin marrë patch mbulonin një gamë të gjerë rrugësh sulmi. Duplicator deri dhe në versionin 1.5.17 dhe Duplicator Pro deri dhe në versionin 4.6.10 kishin PHP object injection pa nevojë për autentikim, CVE-2026-82814. Classified Listing deri dhe në versionin 6.1.5 lejonte code execution për përdoruesit me nivel Subscriber, CVE-2026-111828. Royal Addons for Elementor deri dhe në versionin 1.7.1068 lejonte remote code execution për llogaritë me nivel Contributor, CVE-2026-111851. Royal MCP para versionit 1.5.7 kishte authentication bypass, CVE-2026-111958. Ajax Search Lite deri dhe në versionin 4.14.6, Amelia deri dhe në versionin 2.4.11, dy intervale versionesh të Click n Chat, Newsletters deri dhe në versionin 4.18.1 dhe Product Filter for WooCommerce deri dhe në versionin 3.4.6 ishin ndër produktet me dobësi SQL injection pa nevojë për autentikim që kishin marrë patch.
Stored cross-site scripting përbënte shumë nga raportimet e tjera me rrezikshmëri të lartë. Produktet e prekura që kishin marrë patch përfshinin Anti-Spam by CleanTalk deri dhe në versionin 6.89.1, Better Messages deri dhe në versionin 3.1.3, Contact Form Email deri dhe në versionin 1.3.68, Eventin deri dhe në versionin 4.1.26, Jane Menu deri dhe në versionin 1.5.0, LiteSpeed Cache para versionit 7.9.2, Ninja Forms deri dhe në versionin 3.15.5, Otter Blocks para versionit 3.2.8, PixelYourSite falas dhe Pro para versionit 11.4.3, SureCart deri dhe në versionin 4.9.5, W3 Total Cache deri dhe në versionin 2.10.7, WebP Express deri dhe në versionin 0.25.15, Weglot deri dhe në versionin 6.4.2 dhe WP Mailster deri dhe në versionin 1.9.1.0. Shumica e tyre nuk kërkonin autentikim, kështu që një sulmues nuk do të kishte nevojë për një llogari WordPress.
Kategoria më e zakonshme e dobësive ishte missing authorization, e regjistruar 75 herë. CWE, ose Common Weakness Enumeration, është një mënyrë e standardizuar për klasifikimin e gabimeve të sigurisë në software. Improper handling of input during web-page generation renditej më pas me 69 gjetje, ndërsa untrusted-data deserialization përbënte 20. Totale të tjera përfshinin 16 raste authorization bypasses through user-controlled keys, 13 dobësi SQL command injection, 11 raste ku siguria server-side varej nga kontrollet e kryera në browser-in e vizitorit, 10 ekspozime të informacionit sensitiv, tetë dobësi në privilege management, shtatë probleme në kontrollin e gjenerimit të kodit dhe gjashtë dobësi autentikimi. Databaza regjistroi gjithashtu pesë probleme cross-site request forgery, pesë dobësi incorrect authorization, pesë dobësi në verifikimin e autenticitetit të të dhënave, katër probleme PHP file inclusion, katër dobësi path restriction dhe katër probleme dangerous file upload. Kategoritë më të vogla përfshinin input validation, CAPTCHA guessing, authorization, link resolution dhe uncontrolled resource consumption.
Wordfence vendosi gjithashtu një firewall rule për një UDRPC key compromise që prekte UpdraftPlus deri dhe në versionin 1.26.11. Një firewall rule është një filtër i synuar për të bllokuar kërkesat keqdashëse që përputhen me një model të caktuar. Klientët e Wordfence Premium, Care dhe Response e morën menjëherë këtë firewall rule, ndërsa plugin falas ishte planifikuar ta merrte pas një vonese prej 30 ditësh. Kompania thotë se databaza e saj e vulnerabiliteteve përmban më shumë se 40,000 record dhe mund të përdoret përmes ndërfaqes së saj falas, application programming interface dhe integrimit webhook, i cili mund t’i dërgojë automatikisht njoftimet te një sistem tjetër.
Pronarët e sajteve duhet të krahasojnë çdo plugin dhe theme të instaluar me versionet e prekura, të instalojnë update-et e disponueshme dhe të heqin software që nuk përdoret ose që mbetet pa patch. Para update-it duhet të krijohet një backup, por ai nuk duhet trajtuar si zëvendësim për instalimin e rregullimeve të sigurisë. Wordfence thotë se sajtet që përdorin plugin e tij me skanimin aktiv duhet t’i kenë marrë tashmë njoftimet kur janë prekur. Për organizatat që preferojnë ndihmë operative për këtë punë, AEU Hosting ofron managed WordPress hosting të siguruar nga fillimi në fund.