Majitelé webů a správci serverů by měli zpozornět. Vývojáři PHP zveřejnili 21. října 2026 opravy dvou kritických bezpečnostních chyb. Zranitelnosti se netýkají jen jednoho pluginu nebo konkrétní šablony – nacházejí se přímo v technologii, na které běží velká část internetu.
To je zásadní zejména pro weby na WordPressu, WooCommerce, Drupalu, Joomle a další aplikace využívající PHP. Aktuální redakční systém totiž sám o sobě nezaručuje, že je aktuální také PHP na serveru. Chyby evidované jako CVE-2026-109618 a CVE-2026-109619 mohou v určitých konfiguracích umožnit útočníkovi spustit škodlivý kód bez přihlášení.
Nejdůležitější informace
Bezpečnostní opravy jsou dostupné ve verzích PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pokud používáte starší sestavení stejné větve, aktualizaci neodkládejte.
Co se vlastně stalo?
PHP je programovací jazyk, který na serveru zpracovává například přihlášení, kontaktní formuláře, objednávky nebo obsah webu. Bezpečnostní výzkumníci v něm objevili dvě chyby při práci s pamětí a interním stavem požadavků.
V praxi to znamená, že speciálně vytvořený webový požadavek může za splnění určitých podmínek způsobit chybu ve zpracování paměti a následně otevřít cestu ke spuštění cizího kódu. Této kategorii útoků se říká RCE – Remote Code Execution.
Úspěšný útok by mohl ohrozit soubory, databázi i fungování webu – v rozsahu oprávnění napadeného serverového procesu. Neznamená to ale, že je automaticky prolomený každý web používající PHP: riziko závisí i na konkrétní konfiguraci a dalších podmínkách.
Kterých webů se problém týká?
Podle bezpečnostního oznámení projektu PHP je potřeba řešit všechny instalace PHP zpracovávající webové požadavky. Zpozornět by proto měli nejen majitelé WordPressu, ale také provozovatelé e-shopů, firemních systémů a aplikací běžících na PHP.
Za obzvlášť rizikové označili vývojáři prostředí Apache s mod_php, kde bylo vzdálené zneužití předvedeno i bez spuštění aplikačního kódu. Riziko existuje také u dalších způsobů provozu PHP, například PHP-FPM, i když konkrétní cesty zneužití se liší.
⚠️ Pozor: aktualizace WordPressu nestačí
Verze PHP se obvykle mění v administraci hostingu nebo na serveru, nikoli tlačítkem „Aktualizovat WordPress“. Zabezpečení pluginů a samotného WordPressu je důležité, ale tyto dvě chyby tím neopravíte.
Které verze PHP obsahují opravu?
Oficiální aktualizace jsou dostupné pro čtyři podporované větve. Následující přehled ukazuje minimální opravené verze k 21. říjnu 2026:
| Používaná větev | Opravená verze | Doporučení |
|---|---|---|
| PHP 8.5 | 8.5.12 | Aktualizovat |
| PHP 8.4 | 8.4.27 | Aktualizovat |
| PHP 8.3 | 8.3.36 | Aktualizovat |
| PHP 8.2 | 8.2.35 | Aktualizovat |
PHP 8.1 a starší již nedostávají běžné bezpečnostní aktualizace přímo od projektu PHP. U některých Linuxových distribucí a komerčních LTS dodavatelů mohou být k dispozici zvláštní zpětně přenesené opravy. Pokud na nepodporované verzi stále běží váš web, doporučujeme plánovat přechod na podporovanou větev.
Jak postupovat, pokud máte WordPress?
Dobrá zpráva je, že u běžného hostingu nemusíte upravovat zdrojový kód webu. Je ale vhodné postupovat pečlivě a nezapomenout na ověření funkčnosti.
- Zjistěte verzi PHP. Ve WordPressu otevřete Nástroje → Zdraví webu → Informace → Server. Případně ji najdete přímo v administraci hostingu.
- Vytvořte zálohu webu i databáze. Uložte ji tak, abyste v případě komplikací mohli provést návrat.
- Aktualizujte PHP na opravené vydání. U hostingu zvolte dostupnou opravenou verzi. Pokud ji nenabízí, kontaktujte podporu. U vlastního serveru použijte bezpečnostní balíčky distribuce a restartujte příslušné PHP procesy.
- Otestujte klíčové funkce webu. Zkontrolujte přihlášení, formuláře, odesílání e-mailů, objednávky, platební brány a případné vlastní pluginy.
- Ověřte výsledek. Znovu zkontrolujte skutečně používanou verzi PHP a projděte chybové logy. Verze v příkazové řádce se může lišit od PHP, které obsluhuje web.
Pokud provozujete PHP 7.x nebo 8.1, neskákejte bez testování rovnou na nejnovější větev. Nejprve na kopii webu ověřte kompatibilitu šablony, pluginů a vlastního kódu – bezpečnostní aktualizaci ale řešte prioritně.
Co dělat, když aktualizace zatím není možná?
V první řadě se obraťte na poskytovatele hostingu. Oficiální projekt PHP zdůrazňuje, že jediným úplným řešením je nainstalovat opravenou verzi. Firewall, omezení požadavků nebo vybrané úpravy konfigurace mohou některé postupy útočníků zkomplikovat, ale nenahrazují opravu.
U veřejně dostupných a nezáplatovaných aplikací je na místě dočasně omezit přístup nebo je podle situace izolovat. Pokud zaznamenáte podezřelé soubory, neznámé administrátorské účty či neobvyklé procesy serveru, zachovejte logy a požádejte o bezpečnostní prověření.
Časté dotazy
Mám nejnovější WordPress. Musím něco řešit?
Ano, ověřte také verzi PHP na hostingu. Aktualizovaný WordPress nebo bezpečnostní plugin sám o sobě tyto chyby v PHP neopravuje.
Stačí mi Wordfence nebo Cloudflare?
Takové nástroje mohou pomoci snížit riziko určitých útoků, ale nenahrazují instalaci opraveného PHP. Vývojáři PHP výslovně uvádějí, že úplná ochrana vyžaduje aktualizaci.
Musím přejít rovnou na PHP 8.5?
Nemusíte. Důležité je mít opravou zabezpečené, podporované PHP kompatibilní s vaším webem. Například pro PHP 8.4 je opraveným vydáním 8.4.27.
Může aktualizace PHP rozbít web?
Při přechodu mezi hlavními verzemi se mohou projevit nekompatibilní pluginy nebo vlastní kód. Proto doporučujeme zálohu a testování. Menší bezpečnostní aktualizace uvnitř jedné větve jsou obvykle méně rizikové, i tak je potřeba vše ověřit.
