Elementor 4.3.2 opravuje CSRF chybu. Ohrožení jsou paradoxně ti, kdo aktualizují nejrychleji

Elementor vydal verzi 4.3.2, která opravuje zranitelnost typu CSRF. Zasažené jsou pouze verze 4.3.0 a 4.3.1 — a ty vyšly 22. a 23. září 2026. Celé okno ohrožení je tedy zhruba dva dny a týká se skoro výhradně webů, které aktualizují rychle a poctivě. Pokud jste Elementor naposledy aktualizovali před týdnem, s velkou pravděpodobností se vás to netýká vůbec.

Chyba je vedená jako CVE-2026-62062 s hodnocením High, CVSS 8,8 z 10. Oprava je v Elementoru 4.3.2. Na WordPress.org je vydání datované 24. září 2026, Elementor v e-mailu uživatelům píše o 25. září — rozdíl je jen v časové zóně a v tom, kdy se vydání dostalo do všech kanálů.

Postup je jednoduchý: zkontrolujte číslo verze, a pokud vidíte 4.3.0 nebo 4.3.1, aktualizujte. Zbytek článku vysvětluje, co se vlastně stalo a proč je tahle konkrétní zranitelnost jiná než ty, o kterých čtete obvykle.

Koho se to týká a proč je to takový paradox

Elementor za tři dny vydal tři verze. Časová osa vypadá takhle:

• 4.3.0 — 22. 9. 2026: velké vydání s Elementor MCP, Background Video, Accordionem a Default Styles.
• 4.3.1 — 23. 9. 2026: drobná oprava překladů v horní liště administrace.
• 4.3.2 — 24. 9. 2026: mimo jiné oprava téhle bezpečnostní chyby.

Z toho plyne nepříjemný závěr. Elementor má přes 10 milionů aktivních instalací a zranitelné jsou jen ty, které stihly naskočit na 4.3.0 nebo 4.3.1 během těch dvou dnů. Jinými slovy: riziko nese ten, kdo se chová vzorně — má zapnuté automatické aktualizace nebo si nové verze nasazuje hned. Weby, kde Elementor od jara nikdo neaktualizoval, jsou tentokrát mimo hru.

Malá nesrovnalost, na kterou při hledání narazíte: databáze Patchstack uvádí rozsah zasažených verzí jako „n/a – 4.3.1″, tedy „od neznámé verze až po 4.3.1″. Nevypadá to hezky, ale neznamená to, že je ohrožená každá starší verze — n/a je jen výchozí hodnota pro případ, kdy není doloženo, kterým vydáním chyba vznikla. Elementor sám ve svém oznámení mluví jednoznačně o 4.3.0 a 4.3.1.

Co je CSRF a proč je zrovna u Elementoru nepříjemné

Cross-Site Request Forgery (v katalogu slabin CWE-352) je útok, který nezneužívá díru v serveru, ale důvěru serveru ve váš prohlížeč. Funguje takhle:

1. Jste přihlášení do administrace svého webu. Prohlížeč si drží přihlašovací cookie.
2. V jiné záložce otevřete cizí stránku — odkaz z e-mailu, diskuze, nevinně vypadající příloha.
3. Ta stránka na pozadí odešle požadavek na váš web.
4. Prohlížeč k němu automaticky přiloží vaši cookie. Server tedy vidí legitimní požadavek od přihlášeného administrátora a provede ho.

Obranou je takzvaný nonce — jednorázový token, který WordPress přidává ke každé akci měnící stav a který útočník z cizí domény nemá jak uhodnout. Když se někde zapomene ověřit, vznikne přesně tahle zranitelnost.

U stavebnice stránek je to obzvlášť citlivé, protože Elementor legitimně zapisuje obsah, globální styly i nastavení. Akce, která je pro administrátora naprosto běžná, je v rukou útočníka nástroj na změnu webu. Elementor ani Patchstack konkrétní zneužitelnou akci nepojmenovali — což je při čerstvě vydané opravě standardní postup, aby se nezveřejnil návod dřív, než si weby stihnou stáhnout záplatu.

Co znamenají čísla u zranitelnosti

Vektor si přeložme do češtiny, protože z něj je vidět, kde je slabé místo útoku:

• AV:N — útok jde vést po síti, útočník nemusí být nikde poblíž.
• AC:L — nízká složitost, není potřeba žádná vzácná konfigurace.
• PR:N — útočník nepotřebuje žádný účet na vašem webu.
• UI:R — ale potřebuje součinnost uživatele. Tohle je ta podmínka, která celou věc drží na uzdě: někdo přihlášený musí kliknout nebo otevřít připravenou stránku.
• C:H/I:H/A:H — pokud útok vyjde, dopad na důvěrnost, integritu i dostupnost je vysoký.

Právě UI:R je důvod, proč skóre skončilo na 8,8 a ne výš. Chyba se nedá zneužít hromadně proti seznamu webů — útočník musí dostat konkrétního přihlášeného správce k tomu, aby něco otevřel. To je proveditelné (stačí cílený e-mail), ale není to automat.

Co přesně 4.3.2 mění

V oficiálním changelogu najdete šest řádků. Bezpečnostní oprava je ta předposlední a je formulovaná typicky opatrně:

Fix: Improved code security enforcement in data handling

Zbytek vydání je běžná údržba: vylepšený onboarding v editoru, oprava HTML tagů u Background Videa, lepší kompatibilita s weby chráněnými HTTP Basic autentizací, oprava stylů stránky po přegenerování a — což je v kontextu rychlého aktualizování užitečné — stabilnější souhra mezi Elementor Core a Elementor Pro při aktualizaci.

Jak zjistíte, jakou verzi máte

• V administraci: Pluginy → Instalované pluginy, u položky Elementor je číslo verze rovnou pod popisem.
• Přes WP-CLI: wp plugin get elementor --field=version.
• Hromadně u více webů: pokud používáte správcovský nástroj typu MainWP nebo ManageWP, nechte si vypsat verze Elementoru napříč všemi instalacemi. Právě tady se vyplatí mít přehled.

Vidíte-li 4.3.0 nebo 4.3.1, aktualizujte. Vidíte-li 4.3.2 a vyšší, máte hotovo. Vidíte-li něco staršího než 4.3.0, tahle konkrétní zranitelnost se vás netýká — což ale není důvod zůstávat pozadu, protože Elementor má za sebou i chyby, které tak mírné podmínky neměly.

Jak aktualizovat

1. Udělejte zálohu databáze i souborů. U bodové opravy je riziko malé, ale zvyk je zvyk.
2. Aktualizujte Elementor v Pluginy → Instalované pluginy, případně přes wp plugin update elementor.
3. Máte-li Elementor Pro, aktualizujte i ten. Pro se neaktualizuje z WordPress.org, ale přes licenci — a verze Core a Pro by se neměly rozcházet o víc než jedno vydání.
4. Projděte klíčové stránky a zkontrolujte, že se vykreslují správně. Zvlášť pokud používáte Background Video nebo jste mezi verzemi měnili HTML tagy.
5. Zkontrolujte, že se aktualizace opravdu provedla. U webů s vypnutými automatickými aktualizacemi se to občas tiše nepovede a číslo verze zůstane staré.

Elementor 4.3.2 vyžaduje WordPress 6.8 a vyšší a PHP 7.4 a vyšší, otestovaný je až po WordPress 7.1.2. Pokud na některé z těch podmínek nedosáhnete, řešte nejdřív ji — zastaralé PHP je samo o sobě větší problém než tahle CSRF chyba.

Vyplatí se po tomhle ještě automatické aktualizace?

Vypadá to jako argument proti nim: kdo aktualizoval automaticky, dostal zranitelnou verzi. Jenže tentýž mechanismus mu záplatu doručil o dva dny později, aniž by musel cokoli udělat. Ruční správce, který novinky nasazuje hned a pak se týden nedívá, je na tom hůř než obojí.

Rozumný kompromis pro weby, na kterých záleží:

• Bodové a bezpečnostní verze (třetí číslo, tedy 4.3.1 → 4.3.2) nechte aktualizovat automaticky.
• Velká vydání (4.2 → 4.3) si napřed vyzkoušejte na stagingu. Právě ta přinášejí nové funkce, a tedy i nový kód, ve kterém se chyby hledají.
• Nastavte si upozornění na e-mail, aby aktualizace nebyla neviditelná. Když web po aktualizaci přestane fungovat, chcete vědět, co se změnilo.

Jak poznat, jestli to na vás někdo zkusil

Buďme upřímní: CSRF po sobě nechává málo stop, protože zvenčí vypadá jako běžná akce přihlášeného uživatele. Přesto se dá na pár věcí podívat — a vzhledem k dvoudennímu oknu je pravděpodobnost, že se něco stalo, nízká.

• Revize stránek v editoru: existuje verze, kterou nikdo z týmu neuložil? Elementor si historii revizí drží.
• Globální nastavení a styly Elementoru: nezměnilo se něco, co jste neměnili?
• Uživatelské účty: nepřibyl administrátor, kterého neznáte?
• Přístupové logy z 22. až 24. září: požadavky do administrace s cizí hodnotou hlavičky Referer.
• Naplánované úlohy v cronu, které tam nemají co dělat.

Pokud narazíte na něco, co nesedí, postup pro vyčištění napadeného webu jsme popisovali u červencové chyby v jádru — kroky jsou stejné bez ohledu na to, kudy se útočník dostal dovnitř: WP2Shell: kritická chyba ve WordPressu umožňuje napadení bez přihlášení.

Kontext: co bylo ve 4.3.0, kvůli čemu tolik lidí aktualizovalo

Verze 4.3.0 nebyla obyčejná údržba. Přinesla Elementor MCP, tedy možnost stavět stránky z Claude, Codexu nebo Cursoru, a k tomu Background Video, Accordion a Default Styles. Psali jsme o tom před třemi dny: Elementor MCP je venku: web postavíte z Claude, Codexu nebo Cursoru.

Tohle vysvětluje, proč se na novou verzi vrhlo tolik lidí ručně. Nebyla to jen další čtyřka na konci čísla, ale funkce, kterou si chtěl každý hned vyzkoušet. A přesně to zvětšilo skupinu, která má teď co aktualizovat.

Elementor jako takový samozřejmě používat dál můžete — jde o standardní bodovou opravu vydanou během dvou dnů, ne o systémový problém. Pokud ho teprve zvažujete nebo přemýšlíte o Pro verzi s pokročilými widgety a šablonami, tady je oficiální stránka:

Bug bounty: Elementor za nahlášené chyby platí

Součástí oznámení je i připomínka programu odměn za nalezené zranitelnosti. Pokud se v bezpečnosti pohybujete, hledání chyb v pluginu s deseti miliony instalací je smysluplně strávený čas — a pro ostatní je existence takového programu dobrá zpráva sama o sobě. Znamená, že chyby chodí nejdřív k výrobci a až potom na veřejnost, což je přesně ten scénář, který tady proběhl: záplata byla venku dřív, než se objevil popis útoku.

Podmínky programu a bezpečnostní principy Elementoru najdete na elementor.com/trust.

Shrnutí

Elementor 4.3.2 opravuje CSRF zranitelnost CVE-2026-62062 s hodnocením 8,8 z 10, která se týká výhradně verzí 4.3.0 a 4.3.1. Ty byly k dispozici jen dva dny, takže ohrožené jsou hlavně weby, které aktualizují rychle. Zneužití vyžaduje, aby přihlášený správce otevřel připravenou stránku — hromadně se to zneužít nedá.

Co udělat: podívat se na číslo verze, případně aktualizovat na 4.3.2, nezapomenout na Elementor Pro a nechat si zapnuté automatické bodové aktualizace. Celé to zabere pár minut a je to jeden z těch vzácných případů, kdy je oprava venku dřív, než se o problému stihlo psát.

Zdroje

• Elementor na WordPress.org — changelog verzí 4.3.0 až 4.3.2 a údaje o vydání
• CVE-2026-62062 — záznam zranitelnosti, hodnocení a vektor
• Patchstack — Elementor — databáze zranitelností pluginu
• elementor.com/trust — bezpečnostní principy a bug bounty program

Stav k 25. 9. 2026. Článek popisuje zranitelnost na úrovni zveřejněné výrobcem a databází CVE, aby si čtenář mohl ověřit vlastní ohrožení; neobsahuje návod k útoku. Odkaz na Elementor je partnerský — pokud přes něj nakoupíte, můžeme získat provizi, na cenu to nemá vliv.