Dobësitë e WordPress arrijnë në 362, nga të cilat 43 pa patch
Dobësitë e WordPress, domethënë dobësi të software-it që mund të ekspozojnë një website ose të dhënat e tij, arritën gjithsej në 362 në njoftimet e shtuara në Wordfence Intelligence Vulnerability Database nga 14 deri më 20 shtator 2026. Wordfence ua atribuoi problemet 247 plugins dhe katër themes, me kontribute nga 186 studiues të dobësive. Nga dobësitë e publikuara, 319 u shënuan si të pajisura me patch dhe 43 mbetën pa patch.
Ndarja sipas shkallës së rrezikshmërisë përfshinte 18 dobësi kritike, 74 me rrezikshmëri të lartë, 266 me rrezikshmëri mesatare dhe katër me rrezikshmëri të ulët. Wordfence përdor Common Vulnerability Scoring System (CVSS), një shkallë standarde për vlerësimin e ndikimit të mundshëm dhe mundësisë së shfrytëzimit të dobësive të sigurisë. Kategoria më e madhe e dobësive ishte cross-site scripting, me 94 hyrje. Kjo lloj dobësie lejon që përmbajtje e pasigurt të ruhet ose të shfaqet në një faqe web. missing authorization vinte më pas me 69 hyrje, ndërsa SQL injection, ku input i përgatitur posaçërisht mund të ndërhyjë në komandat e database-it, përbënte 35 hyrje. Kategori të tjera të spikatura përfshinin 27 raste authorization bypass që përfshinin keys të kontrolluara nga përdoruesi, 27 raste sensitive information exposure, 19 dobësi privilege management, 13 probleme code injection dhe 12 dobësi dangerous file upload.
Mes njoftimeve ishte edhe një dobësi me rrezikshmëri të lartë në WordPress Core. Versionet e WordPress deri te 7.1, përfshirë këtë version, prekeshin nga stored cross-site scripting pa autentikim në mënyrën se si wpautop() përpunonte blockquotes. Pa autentikim do të thotë se një sulmues nuk do të kishte nevojë të identifikohej paraprakisht. Problemi, i gjurmuar si CVE-2026-93485 dhe me rezultat CVSS 7.2, u shënua si i pajisur me patch. Wordfence tha se vendosi menjëherë mbrojtje shtesë web application firewall, e cila filtron kërkesat potencialisht të dëmshme ndaj website-it, për klientët e shërbimeve Premium, Care dhe Response. Përdoruesit falas ishte planifikuar ta merrnin këtë mbrojtje pas 30 ditësh.
Wordfence vendosi gjithashtu një rule të veçantë, të identifikuar si WAF-RULE-957, por nuk i publikoi hollësitë teknike ndërsa punonte me vendor-in përkatës për një patch. Kjo do të thotë se administratorët nuk mund ta përdorin përshkrimin publik për të identifikuar software-in e prekur. Ky njoftim nuk duhet ngatërruar me problemin në WordPress Core, të cilin Wordfence e emërtoi veçmas dhe e shënoi si të pajisur me patch.
Njëmbëdhjetë nga 18 dobësitë kritike u renditën si të pajisura me patch. Ato përfshinin remote code execution pa autentikim në Advanced Custom Fields: Extended PRO deri në versionin 0.9.2.6 dhe Migratico Lite deri në versionin 2.6.8. remote code execution do të thotë se dikush mund ta bëjë server-in të ekzekutojë nga larg komanda software-i. Wordfence regjistroi gjithashtu dobësi kritike privilege escalation në Choose User Role at Registration for WooCommerce deri në versionin 1.3.2 dhe JetFormBuilder deri në versionin 3.6.2, si dhe një dobësi file upload pa autentikim në Gravity Forms deri në versionin 3.1.0.4.
Hyrje të tjera kritike të pajisura me patch prekën TrueBooker deri në versionin 1.2.3, Ultimate Addons for Contact Form 7 nga versioni 3.2.4 deri në 3.5.50, WooCommerce Online Product Designer deri në versionin 2.14.0 dhe wpShopGermany IT-RECHT KANZLEI deri në versionin 2.3. Forminator Forms deri në versionin 1.57.2 dhe WP Recipe Maker deri në versionin 10.8.1 prekeshin nga arbitrary shortcode execution pa autentikim, që mund ta bëjë WordPress të përpunojë udhëzime për website-in të dhëna përmes një input-i të pasigurt.
Shtatë hyrje kritike mbetën pa patch. Versionet 2.35 deri në 2.36 të Admin Menu Editor Pro u renditën si software me backdoor. DS Ad Rotator deri në versionin 0.8, Multi Uploader for Gravity Forms deri në versionin 1.1.9 dhe WP images upload on piclect deri në versionin 1.0 kishin dobësi arbitrary file upload pa autentikim. Login with QR deri në versionin 1.0.0, Private Feed Key deri në versionin 0.1 dhe The Pressengine deri në versionin 1.0 kishin dobësi authentication bypass, duke mundësuar potencialisht hyrje të mbrojtur pa kontrollin normal të identifikimit.
Gjetjet me rrezikshmëri të lartë mbulonin gjithashtu disa funksione të zakonshme të website-eve. Versionet e Consulting theme deri në 6.7.16 kishin një problem privilege escalation të pajisur me patch, të shfrytëzueshëm nga përdoruesit me nivel subscriber. Location Manager deri në versionin 2.3.38 dhe Ni WooCommerce Sales Report deri në versionin 4.1.0 kishin dobësi SQL injection pa autentikim dhe të pajisura me patch. Hyrje të krahasueshme SQL injection mbetën pa patch në Album Cover Finder deri në versionin 0.7.0, Price Drop Alert for WooCommerce deri në versionin 1.1, Product Question and Answer deri në versionin 1.1.0, SAMO Forms deri në versionin 1.0.0 dhe versionet 1.1 deri në 1.3.1 të Yo.
Katër themes të përfaqësuara në totalin javor ishin Bridge, Consulting, Divi dhe VW Writer Blog. Lista shumë më e madhe e plugins mbulonte formularë, ecommerce, rezervime, anëtarësime, ndërtim faqesh, galeri, autentikim, caching dhe funksione të tjera të website-eve. Prandaj, pronarët e website-eve duhet ta kontrollojnë software-in e instaluar sipas produktit dhe versionit të saktë, në vend që të supozojnë se WordPress Core është i vetmi komponent që kërkon vëmendje.
Administratorët duhet të përditësojnë çdo hyrje të shënuar si të pajisur me patch, më pas të çaktivizojnë dhe të heqin software-in pa patch, përveç rasteve kur është thelbësor dhe mund të izolohet gjatë pritjes për një rregullim. Ata duhet të kontrollojnë gjithashtu llogaritë administrator, files e ngarkuara së fundmi dhe ndryshimet e papritura në website, veçanërisht kur një dobësi ka lejuar authentication bypass, privilege escalation, code execution ose arbitrary file upload. Për organizatat që preferojnë të mos e menaxhojnë të vetme infrastrukturën WordPress, AEU Hosting ofron managed WordPress hosting të siguruar nga fillimi deri në fund.
Shifrat theksojnë rëndësinë e mbajtjes së një inventari të saktë të plugins dhe themes. Një komponent që është i instaluar, por nuk përdoret më aktivisht, mund të lërë ende kod të cenueshëm në server, ndërsa një update sigurie nuk mund ta ndihmojë website-in derisa release i korrigjuar të jetë instaluar realisht.