Zranitelnost PHP: jak za 2 minuty zjistit, jestli je váš web ohrožený

Co je ta zranitelnost PHP, o které se píše ve zprávách? Týká se i mého webu? A musím něco dělat, když mi web před lety postavil kamarád a od té doby do něj nikdo nesáhl?

Jestli jste se na to tento týden ptali Googlu, nejste sami. Zpráva o kritické chybě v PHP zní hrozivě a k tomu je plná zkratek, kterým rozumí jen programátoři. Vy přitom potřebujete vědět jen tři věci: jestli se vás to týká, jak to ověřit a komu napsat. Na všechny tři odpovíme bez jediného příkazu v terminálu.

Krátká odpověď

Kritická chyba v PHP: co se stalo a proč se to týká i malého webu

Projekt PHP vydal 21. října 2026 verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Opravují dvě chyby s označením CVE-2026-109618 a CVE-2026-109619, přes které může útočník na serveru spustit vlastní kód, aniž by se kamkoli přihlašoval. Obě mají závažnost 9,2 z 10 podle stupnice CVSS, kterou se bezpečnostní chyby hodnotí. Oznámení najdete na php.net, technické podrobnosti pro vývojáře v popisu první a druhé chyby.

PHP je programovací jazyk, ve kterém běží WordPress a spousta dalších webů. Sedí na serveru a z každé návštěvy skládá stránku, kterou pak zákazník vidí. Chyba je v PHP, ne ve WordPressu. Můžete tedy v administraci odkliknout všechna tlačítka Aktualizovat a tuhle díru tím nezavřete. Opravit ji musí ten, kdo spravuje server.

Proč to neodkládat: ukázky útoku jsou veřejné, potvrzuje to i evropský CERT-EU, a americká agentura pro kybernetickou bezpečnost CISA 26. 10. 2026 zařadila obě chyby do katalogu aktivně zneužívaných zranitelností. Automatické skenery procházejí internet adresu po adrese a velikost firmy je nezajímá. Web malého truhlářství je pro ně jen další řádek v seznamu.

Nechcete se tím zabývat sami? Aktualizace systému a pluginů držíme aktuální v rámci správy webu.

Týká se to vašeho webu?

Pokud web běží na PHP, tak ano. To je případ WordPressu a WooCommerce, PrestaShopu, Joomly, Drupalu i spousty webů dělaných na míru. Bezpečnostní firma Calif, která chyby objevila a přezdívá jim PHP2Shell, ukázala útok bez přihlášení i na obyčejném WordPressu. Podle ní jsou zasažené i velmi staré verze PHP, až po verzi 5.4.

Když máte web na hotové platformě, kterou provozuje dodavatel, a do serveru vůbec nevidíte, zeptejte se dodavatele. Za něj tipovat nebudeme.

Kdo opravu nasazuje, záleží na tom, kde web běží. Na sdíleném hostingu, kde máte místo na serveru spolu s dalšími weby, ji nasazuje hosting. Na VPS nebo vlastním serveru je to práce majitele, případně jeho správce.

Oprava u hostingu ale řeší jen tuhle chybu. Nevyřeší staré pluginy a neřekne vám, jestli se někdo na web nedostal ještě předtím, než oprava dorazila. Britské národní centrum kybernetické bezpečnosti NCSC u systémů, které zůstaly neopravené, doporučuje zkontrolovat stopy napadení. U běžného webu to znamená projít seznam správců a soubory a hledat ty, které tam nikdo z vás nepřidal.

Jak za 2 minuty zjistit verzi PHP

Programátora na to nepotřebujete. Stačí jedna z těchto cest:

1. Ve WordPressu otevřete Nástroje, Stav webu, záložku Informace a rozbalte sekci Server. Verze PHP je tam černé na bílém.
2. V administraci hostingu hledejte u domény položku PHP nebo Verze PHP. Přesné místo se liší podle hostingu.
3. Zeptejte se toho, kdo vám web spravuje. Pokud nevíte, kdo to je, je to taky odpověď, jen ne ta nejlepší.

Jak číst výsledek:

Administrace často ukáže jen „8.3“ bez posledního čísla, takže z ní nepoznáte, jestli běží opravená 8.3.36. To vám potvrdí jen hosting. Kdy která verze přestane dostávat opravy, uvádí přehled podporovaných verzí PHP.

Máte vlastní server nebo VPS? Po aktualizaci je potřeba restartovat všechny procesy PHP, aby se oprava projevila. Podrobnosti pro správce jsou v oznámení na php.net.

Co napsat hostingu

Klíče od serveru má hosting, takže otázky patří jemu. Klidně zkopírujte tenhle e-mail a doplňte svou doménu:

Velké české hostingy už k chybám zveřejnily, co udělaly. Shrnujeme je tak, jak je uvedly:

Máte web u jiného hostingu? Pošlete mu e-mail výše a počkejte na odpověď.

Jedno upozornění, než verzi PHP změníte: udělejte zálohu, a pokud to jde, vyzkoušejte web nejdřív na kopii. Starší plugin nebo šablona na nové verzi někdy přestanou fungovat a místo webu uvidíte bílou stránku nebo chybovou hlášku.

Co dělat, když web běží na staré verzi PHP

Ochrana, kterou hostingy nasadily pro PHP 8.1 a starší, vás chrání před touto chybou. Před další už nemusí, protože tyhle verze projekt PHP neopravuje. Dlouhodobě je cílem přejít na podporovanou verzi.

Aktualizace PHP a WordPress

WordPress s tím počítá také. Verze 7.1 sice vyžaduje jen PHP 7.4 nebo novější, ale verze 7.4, 8.0 a 8.1 podporuje jen kvůli zpětné kompatibilitě. Tým, který pro WordPress připravuje doporučení pro hostingy, radí pro nové instalace PHP 8.4 nebo 8.5 a minimální doporučená verze zůstává 8.3.

Horší chvíle nastane, když starý plugin nebo šablona na nové verzi PHP nefunguje a nikdo je už nevyvíjí. Pak máte na výběr: držet web na staré verzi, nechat plugin přepsat, nebo postavit web znovu tak, aby na pluginech nestál. Tu třetí cestu popisujeme na stránce Přechod z WordPressu: bez pluginů a bez nutnosti aktualizací.

Jak se vyhnout tomu, aby vás PHP překvapilo příště

Tahle chyba nebyla první a nebude poslední. PHP, WordPress i pluginy dostávají opravy průběžně a někdo je musí hlídat. Když to nechcete být vy, můžete web předat do správy. Odpovědnost za technickou stránku webu přebíráme my, děláme denní zálohy mimo hosting, systém, pluginy a certifikáty držíme aktuální a hlídáme, jestli je web dostupný. Ve vyšších úrovních jsou i drobné úpravy. Verzi PHP vám pomůžeme zkontrolovat a převést na podporovanou.

Výpověď je možná kdykoliv ke konci měsíce, vstupní poplatek neúčtujeme a přístupy i doména zůstávají vaše. Co všechno správa zahrnuje, najdete na stránce správa webu.

A poctivě: správa nenahradí opravu na straně hostingu. PHP na sdíleném serveru aktualizuje hosting. Když hosting verzi PHP změnit neumí, řešením je jiný hosting nebo nový web.

Časté otázky