Bezpečnost WordPressu a PHP: proč stavím weby bez nich

Ve středu 21. října 2026 vydal tým PHP opravy dvou kritických chyb, kvůli kterým může útočník bez přihlášení spustit na serveru vlastní kód. PHP přitom běží na většině webů, u kterých jde serverový jazyk zjistit, a na každém webu na WordPressu. Shrnuji, co se stalo, co má majitel WordPressu zkontrolovat hned a proč weby na míru stavím na Next.js, bez PHP a bez WordPressu. Nejde o strašení: WordPress má svoje místo a klientům, kteří ho mají, s ním pomáhám.

Co se 21. října 2026 stalo s PHP?

Bezpečnostní tým PHP 20. 10. na php.net předem ohlásil mimořádné vydání na středu 21. 10. ve 14:00 UTC. Ve středu vyšly opravené verze a bezpečnostní oznámení. Média chybám říkají PHP2Shell.

• Dvě chyby, obě kritické. CVE-2026-109618 souvisí se zpracováním nedostatku paměti, CVE-2026-109619 s vnitřním stavem, který přežije konec požadavku. Tým PHP je hodnotí skóre CVSS 4.0 9,2, americká databáze NVD skóre CVSS 3.1 9,8.
• Koho se týkají. Podle php.net všech instalací PHP, které obsluhují webové požadavky: PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP i LiteSpeed. Nejvyšší riziko vidí u mod_php, kde je předvedený útok, který proběhne ještě před spuštěním kódu aplikace.
• Úplné řešení je jen aktualizace. Dočasná opatření z oznámení, například vypnutí session.upload_progress.enabled v php.ini, podle týmu PHP uzavírají jen některé cesty útoku. Bezpečnou instalaci z nich neudělají.
• Starší verze. PHP 8.1 a starší od projektu aktualizace nedostávají. Pro 7.4, 8.0 a 8.1 tým PHP výjimečně zveřejnil minimální záplaty ve zdrojovém kódu, jinak opravu dodávají distribuce Linuxu a dodavatelé dlouhodobé podpory.

Termíny podpory jsou z přehledu podporovaných verzí PHP, stav 21. 10. 2026.

Zneužívá se chyba už?

Zdroje se k večeru 21. 10. rozcházejí. Oznámení php.net mluví o předvedeném útoku, ne o zneužívání. Nizozemské NCSC podle agentury ANP aktivní zneužití v Nizozemsku ve středu nezaznamenalo. Qualys ale uvádí, že Cloudflare hlásí útočný provoz zaměřený na tyto chyby. Počítejte s tím, že se situace během dnů mění.

Co se dělo v Nizozemsku?

Nizozemsko reagovalo nejvýrazněji. Podle souhrnu agentury ANP v Reformatorisch Dagblad a Hart van Nederland preventivně stáhly weby z provozu mimo jiné Tweede Kamer, portál MijnOverheid, několik nemocnic a část bezpečnostních regionů. Hosting MijnDomein podle ANP vypnul svůj web i weby zákazníků a Yourhosting dočasně vypnul své systémy, oba do vydání opravy. Jiní nizozemští hostingové podle De Zaak zákazníkům vzkázali, že nemusí nic dělat, protože opravu nasadí sami. CERT-EU podle ANP doporučil odpojit aplikace na internetu, které nejde hned opravit.

Oznámení českých hostingů k těmto chybám jsem do večera 21. 10. nenašel. Neznamená to, že nic nedělají: zeptejte se přímo svého hostingu, postup je níže.

Kolik webů běží na PHP a WordPressu?

Často opakované „70 % internetu“ je zaokrouhlené číslo z W3Techs. Přesné hodnoty k 21. 10. 2026:

Statistiku verzí PHP sbírá WordPress.org z webů, které si u něj kontrolují aktualizace. Víc než třetina z nich tedy běží na verzi PHP, pro kterou projekt PHP 21. 10. nevydal novou verzi. Část z nich může mít opravu od distribuce, ale to musí potvrdit hosting.

Proč jsou weby na WordPressu častým cílem?

Jádro WordPressu je udržované dobře. Riziko je v tom, co se kolem něj skládá. Zpráva Patchstack State of WordPress Security in 2026 za rok 2025 uvádí:

• 11 334 nových zranitelností v ekosystému WordPressu, o 42 % víc než v roce 2024,
• 91 % z nich v pluginech a 9 % v šablonách, v jádru jen 6 a s nízkou prioritou,
• 46 % zranitelností nemělo v době zveřejnění opravu od autora,
• vážený medián doby do prvního zneužití je 5 hodin.

Co z toho plyne: každý WordPress je jiná kombinace jádra, pluginů, šablony a verze PHP. Je tak bezpečný, jak bezpečný je jeho nejslabší plugin a jak rychle někdo nasadí opravu. Na pět hodin nestačí kontrola aktualizací jednou týdně. A protože přihlášení leží standardně na stejné adrese (/wp-login.php), útočník nemusí cíle hledat ručně.

Jak stavím weby já a proč bez PHP?

Weby na míru stavím v Next.js. U firemního webu se většina stránek vyrobí předem, při sestavení (statické generování). Server pak návštěvníkovi posílá hotové soubory, obvykle z CDN. Pro bezpečnost to znamená:

• Na serveru neběží PHP. Chyby jako ty z 21. 10. se takového webu netýkají.
• Žádné přihlášení do administrace na webu. Když klient potřebuje obsah upravovat sám, přidá se redakční systém (CMS). Ten má vlastní přihlášení a patří do údržby stejně jako cokoli jiného.
• Databáze jen tam, kde je potřeba. Prezentační web ji většinou nepotřebuje. Klientská zóna nebo e-shop ano a pak je to další část, o kterou je potřeba se starat.
• Méně cizích doplňků. Funkce jsou součástí kódu projektu, ne desítek pluginů od různých autorů. Balíčky z npm ale existují a také se musí aktualizovat.
• Každá změna je verze v gitu. Nasazení jde vrátit na předchozí verzi.
• Rychlost. Hotová stránka z CDN nečeká na PHP ani databázi. Výsledek ale ověřuji měřením, ne slibem, viz jak zrychlit web.

Je web na Next.js bezpečnější?

Když se staví staticky, má menší útočnou plochu. Bez chyb ale není. Dne 3. 12. 2025 zveřejnily React a Next.js kritickou chybu React2Shell (CVE-2025-55182, CVSS 10,0), která umožňovala spustit kód na serveru bez přihlášení. Týkala se aplikací s App Routerem v Next.js 15 a 16. Weby, jejichž React kód nepoužívá server, zasažené nebyly. Řešení bylo stejné jako teď u PHP: okamžitá aktualizace.

Beru z toho jednoduché pravidlo: technologie snižuje riziko, ale každý web potřebuje někoho, kdo hlídá bezpečnostní oznámení a nasadí opravu.

Kdy WordPress dává smysl a kdy web na míru?

WordPress nepovažuji za špatnou volbu. Špatná volba je web, o který se nikdo nestará, ať běží na čemkoli.

Srovnání redakční práce, výkonu a ceny najdete v článku WordPress vs Next.js. Kdy se vyplatí samotný Next.js, popisuji v článku proč Next.js pro firemní web.

Co zkontrolovat hned, když máte web na WordPressu?

1. Zjistěte verzi PHP. V administraci WordPressu: Nástroje → Stav webu → Informace → Server. Nebo v administraci hostingu.
2. Zeptejte se hostingu, jestli nasadil opravu z 21. 10. 2026. Opravené jsou verze 8.5.12, 8.4.27, 8.3.36, 8.2.35 a novější. Distribuce Linuxu mohou mít opravu i pod starším číslem verze, proto chtějte od hostingu potvrzení, ne jen číslo. E-mailům, které vás kvůli chybě PHP žádají o přihlašovací údaje, nevěřte a ověřte si je přímo u hostingu.
3. Běží web na PHP 8.1 nebo starším? Naplánujte přechod. Nejlépe rovnou na 8.3 nebo novější, 8.2 má podporu jen do 31. 12. 2026. Před změnou udělejte zálohu a vyzkoušejte web na testovací kopii, staré pluginy na nové verzi PHP nemusí fungovat.
4. Aktualizujte jádro, pluginy a šablony a nepoužívané smažte. Chybu PHP to neopraví, ale pokryje to místa, kde vzniká většina zranitelností WordPressu.
5. Mějte zálohu mimo server a vyzkoušejte obnovu. Záloha, kterou nikdo neobnovil, je jen předpoklad.
6. Zabezpečte přihlášení. Jedinečná hesla, dvoufázové ověření a jen tolik administrátorů, kolik je opravdu potřeba.
7. Spravujete vlastní server a nemůžete aktualizovat hned? Použijte dočasná opatření z oznámení PHP, například session.upload_progress.enabled=0 v php.ini a restart všech workerů. Úplné řešení to není. Když aktualizace dlouho nepůjde, zvažte web dočasně odpojit, jak radí CERT-EU.
8. Vidíte cizí obsah, přesměrování nebo varování prohlížeče? Postup je v článku spadl mi web, co dělat.

Jak vám s tím pomůžu?

• Chcete WordPress udržovat: správa webu od 1 490 Kč měsíčně, nebo jednorázově IT pomoc pro web a e-shop, když něco nefunguje.
• Zvažujete web bez PHP: tvorba webových stránek začíná u mě na 20 000 Kč. Při přechodu z WordPressu je důležité zachovat adresy a přesměrování, viz SEO migrace při redesignu.

Časté otázky

Týká se chyba PHP z 21. 10. 2026 i mého webu na WordPressu?

Ano, dokud hosting nenasadí opravu. WordPress běží vždy na PHP a chyby se týkají všech instalací PHP, které obsluhují webové požadavky. Opravené verze jsou 8.5.12, 8.4.27, 8.3.36 a 8.2.35; u PHP 8.1 a starších záleží na tom, jestli hosting nasadil opravu od distribuce.

Opraví to aktualizace WordPressu nebo pluginů?

Ne. Chyba je v samotném PHP na serveru, ne ve WordPressu. Opravu musí nasadit hosting nebo správce serveru. Aktualizace WordPressu a pluginů jsou přesto důležité kvůli jejich vlastním zranitelnostem.

Je WordPress nebezpečný?

Jádro WordPressu je udržované dobře, Patchstack za rok 2025 uvádí jen 6 zranitelností jádra s nízkou prioritou. Riziko je v pluginech a šablonách (91 % a 9 % nových zranitelností), ve starém PHP a v chybějící údržbě. Udržovaný WordPress s několika prověřenými pluginy může být rozumná volba.

Je web na Next.js úplně bezpečný?

Ne. Statický web na Next.js má menší útočnou plochu, protože na serveru neběží PHP, databáze ani veřejné přihlášení. Next.js a React ale také měly kritickou chybu (React2Shell, prosinec 2025, CVSS 10,0) a balíčky se musí aktualizovat. Bezpečnost dělá údržba, ne název technologie.

Mám kvůli tomu přejít z WordPressu na web na míru?

Kvůli jedné chybě ne. Přechod dává smysl, když web stejně potřebujete předělat, nikdo se o WordPress nestará nebo chcete rychlý web s co nejmenší údržbou. Když WordPress funguje a máte na údržbu člověka, je levnější ho udržovat.

Je pravda, že na PHP běží 70 % internetu?

Přibližně. Podle W3Techs k 21. 10. 2026 používá PHP 69,3 % webů, u kterých jde serverový jazyk zjistit. U ostatních podíl neznáme. WordPress běží na 39,6 % všech webů.

Zdroje a odkazy

• PHP: bezpečnostní oznámení z 21. 10. 2026, předběžné oznámení z 20. 10. 2026 a podporované verze
• NVD: CVE-2026-109618 a CVE-2026-109619
• Qualys: PHP2Shell, dočasná opatření a zpráva o útočném provozu
• W3Techs: PHP a WordPress, stav 21. 10. 2026
• WordPress.org: statistika verzí PHP, stav 21. 10. 2026
• Patchstack: State of WordPress Security in 2026
• React: kritická chyba v React Server Components a Next.js: CVE-2025-66478
• Nizozemsko, agentura ANP: Reformatorisch Dagblad, hostingy vypínají weby, Hart van Nederland; hostingy podle De Zaak