Kritický řetězec zranitelností v populárním tématu Avada pro WordPress může neautentizovaný útočník zneužít ke spuštění libovolného PHP kódu na serveru. Exploit spojuje šest bezpečnostních slabin do bezklikového (zero-click) útoku. Zranitelnosti jsou souhrnně evidovány pod označením CVE-2026-18431 a získaly kritické skóre závažnosti 9,8.
Útok kombinuje zneužití slabin v autorizaci, ověřování vstupů, hranicích důvěry a manipulaci se soubory, které je nutné provést v přesně stanoveném pořadí, aby bylo možné na cílovém serveru spustit libovolný PHP kód. Útočníci, kterým se to podaří, mohou weby zcela kompromitovat pro nejrůznější škodlivou činnost, od nasazení malwaru a přístupu k databázím přes přesměrování návštěvníků na škodlivé stránky až po přidávání podvodných administrátorských účtů.
Kdo je ohrožen a jak byla chyba objevena
CVE-2026-18431 se týká verzí Avada až po 7.16 a zásuvného modulu Fusion Builder až po verzi 3.16, uvedl v úterní zprávě tým Wordfence společnosti Defiant. Vývojář obou produktů, společnost ThemeFusion, zranitelnost opravil, ale Wordfence nezveřejnil úplné technické detaily, aby administrátoři měli dostatek času na instalaci aktualizací. Poskytl pouze rámcový přehled řetězce útoku: vystavení útočníkem řízeného vstupu skrze veřejný požadavek, jeho předání funkcionalitě omezené pro anonymní uživatele, vyvolání privilegované komponenty mimo její určený kontext, ovlivnění důvěryhodného stavu pomocí dat z požadavku, přístup k nedostatečně chráněné administrátorské operaci a nakonec obejití omezení při manipulaci se soubory, tedy co a kam lze zapsat.
Ačkoli zneužití vyžaduje, aby byla na cílovém webu aktivní zranitelná verze jak tématu Avada, tak modulu Fusion Builder, výzkumníci pro BleepingComputer upřesnili, že „Fusion Builder je pro téma Avada vyžadovaným zásuvným modulem“. „Všechny weby využívající téma Avada tak zároveň používají i modul Fusion Builder,“ dodali. Téma Avada je přitom velmi rozšířený produkt s více než milionem prodaných licencí, a protože se Fusion Builder instaluje spolu s ním, tyto předpoklady okruh potenciálních cílů nijak nezužují. „Jakýkoli web, na němž je nainstalováno téma Avada, bude zneužitelný,“ vysvětlil Wordfence.
Šestikrokový řetězec zranitelností Wordfence objevil pomocí interního agentického frameworku s názvem Argus, který zároveň vytvořil i důkazní kód exploitu (proof-of-concept), a to vše přibližně za dvě hodiny. Argus chybu našel a úspěšně reprodukoval 30. července a výzkumníci předali kompletní detaily výrobci 5. srpna. ThemeFusion hlášení potvrdil 10. srpna a opravy vydal ve verzích Avada 7.16.1 a Fusion Builder 3.16.1.
Zdroj: bleepingcomputer.com
Zdroj: IT SECURITY NETWORK NEWS
