WordPress opravil závažnou chybu v aktualizačním mechanismu a bezpečnostní záplaty vyšly také pro moduly Drupalu, Backdropu a Umbraco. V přehledu za 23.–30. října 2026 se podívám i na Directus, který nově vyžaduje Node.js 26, přesnější webhooky ve Strapi a kontrolu obsahu vytvářeného přes MCP v Sanity.

WordPress opravuje chybu při aktualizaci jádra

WordPress 7.1.4 přináší několik bezpečnostních oprav. Nejzávažnější se týká samotné aktualizace systému: slabina v jejím průběhu za určitých podmínek otevírá cestu ke vzdálenému spuštění kódu.

Oficiální oznámení neuvádí podrobný postup útoku ani všechny podmínky zneužití. Z formulace proto neplyne, že by útočník získal přístup ke každému neaktualizovanému webu. Přesto jde o citlivou část systému, která při aktualizaci zapisuje soubory aplikace.

Další opravy řeší mimo jiné uložené XSS a neoprávněný přístup k poznámkám u příspěvků. Bezpečnostní vydání navazuje na minulý přehled s kritickými opravami PHP. Pokud WordPress aktualizujete automaticky, vyplatí se ověřit, že instalace aktualizaci skutečně dokončila.

Co znamená XSS? Cross-site scripting je chyba, při které se do stránky dostane škodlivý skript a spustí se v prohlížeči návštěvníka. Dopad závisí na místě chyby a oprávněních uživatele, který stránku otevře.

Drupal opravuje AI modul i import obsahu

Bezpečnostní tým Drupalu 28. října zveřejnil několik upozornění na komunitní modul AI. Jedna z kritických chyb souvisí s nedostatečným ověřením odkazů v Markdownu a otevírá prostor pro XSS. Opravu obsahují verze AI 1.5.2 a 1.4.11.

Další chyba se týkala převodu řeči na text: modul ukládal nahrávky do stejného dočasného souboru a následně jej neodstraňoval. Kdo dokázal číst dočasný adresář webu, získal přístup k cizím nahrávkám. Je to připomínka, že AI integrace pracuje vedle textových odpovědí také se soubory a citlivými daty.

Dvě kritické chyby opravuje také Single Content Sync, modul pro přenos obsahu a souborů mezi weby. Problémy při zpracování cest a importovaných dat za určitých podmínek vedly až ke spuštění kódu. Útok vyžaduje oprávnění k importu obsahu. Oprava vyšla ve verzi 1.4.19.

Nová verze zároveň standardně zakazuje stahování vzdálených souborů při importu. Pokud na této možnosti váš web závisí, počítejte s nastavením důvěryhodných hostitelů a po aktualizaci spusťte databázové aktualizace a obnovte cache.

Chyba S3 File System zasáhla Drupal i Backdrop

Modul S3 File System ukládá soubory do Amazon S3 nebo kompatibilního úložiště. Při několika souborových operacích v jednom požadavku nedostatečně odděloval jejich nastavení. Výsledkem byly nesprávné seznamy přístupových práv nebo poškození metadat souborů.

Pro Drupal vyšla oprava ve verzi S3 File System 3.12, pro Backdrop ve verzích 1.x-3.0.16 a 1.x-4.0.2. Dopad závisí na konfiguraci ukládání a jednotlivých operacích.

Samotná aktualizace ovšem nezmění oprávnění souborů, které už v úložišti leží. Pokud Drupal používal S3 pro soukromé soubory bez nastavení jejich soukromého nahrávání, doporučuje bezpečnostní tým zkontrolovat jejich existující přístupová práva. Právě tohle je u podobné opravy důležitý rozdíl oproti běžné aktualizaci kódu.

Umbraco opravilo deset bezpečnostních chyb

Umbraco zveřejnilo opravy deseti zranitelností v CMS, Umbraco Forms a Umbraco AI. Dvě mají vysokou závažnost. Jedna se týká přihlašování do administrace a za určitých podmínek dovolovala převzetí uživatelské relace; druhá zasahuje workflow formulářů a souvisí se spuštěním kódu.

Opravené verze CMS jsou 13.16.3, 17.7.2 a 18.2.2. U Forms vyšly verze 13.9.12, 17.6.2 a 18.2.2. Jednotlivé chyby ale nedopadají na všechny uvedené větve stejně, proto je vhodné vycházet z přehledu dotčených verzí u konkrétního produktu.

Umbraco AI řeší mimo jiné práci s oprávněními a ukládání přístupových údajů poskytovatelů do souborů pro nasazení. Pokud se takové soubory dostaly do repozitáře, samotná aktualizace již vyzrazený klíč neochrání. Umbraco proto doporučuje dotčené klíče vyměnit. Na cloudových projektech vyžaduje Umbraco AI samostatnou aktualizaci.

Directus 12.6 zvyšuje požadavek na Node.js

Directus 12.6 přináší změnu, která zasahuje provozní prostředí: nejnižší podporovanou verzí je Node.js 26 a podpora Node.js 22 končí. Před aktualizací tak nestačí zkontrolovat pouze samotný balíček Directusu, ale i prostředí serveru nebo kontejneru.

Z nových funkcí stojí za pozornost typ rozšíření pro textový editor. Vývojáři díky němu přidají vlastní prvky a tlačítka přímo do editoru založeného na Tiptapu. Hodí se například pro obsah, který potřebuje vlastní strukturované prvky uvnitř běžného textu.

Změnil se také název schématu v OpenAPI z x-metadata na Metadata. Projekty generující klienty ze specifikace nebo používající vlastní odkazy na toto schéma musí po aktualizaci upravit návazný kód.

Strapi zpřesňuje webhooky, Sanity kontroluje změny přes MCP

Strapi 5.60 dovoluje vybrat události webhooků pro jednotlivé typy obsahu. Systém, který na změny navazuje, tak nemusí dostávat upozornění na každý typ obsahu. Nová verze také zaznamenává změny nastavení jednotného přihlašování do auditního logu.

Webhook je zpráva, kterou systém automaticky odešle při určité události. Po zveřejnění článku například upozorní další službu, aby obnovila stránku nebo vyhledávací index.

Sanity MCP server 2.45 nově kontroluje vytváření, úpravy a publikování dokumentů podle nasazeného schématu. Neplatnou změnu odmítne ještě před jejím provedením. Při publikování kontroluje i povinná pole, zatímco při vytváření a úpravách používá volnější pravidla.

Ochrana má ale hranice. Pokud server nedokáže jednoznačně vybrat schéma, operaci provede s upozorněním; bez nasazeného schématu pokračuje bez upozornění. Dokumentace také uvádí, že vlastní validační pravidla se přes MCP zatím přeskakují.

Právě u AI agentů mi kontrola schématu připadá užitečná: obsah nezůstává odkázaný jen na to, zda si agent správně zapamatoval podobu jednotlivých polí. Pro úplnou kontrolu ale stále záleží na pravidlech, která Sanity přes MCP skutečně ověřuje.