Kritická oprava PHP: co znamená pro váš WordPress web

Ve středu 21. října 2026 vydal projekt PHP mimořádnou bezpečnostní aktualizaci. Opravuje dvě chyby s hodnocením závažnosti 9,2 z 10. Útočník je může zneužít bez přihlášení a spustit na serveru vlastní kód. Výzkumníci jim začali říkat PHP2Shell.

WordPress je napsaný v PHP, takže se to týká každého WordPress webu. Aktualizace WordPressu ani pluginů tentokrát nepomůže. Opravit se musí PHP na serveru, na kterém web běží.

O co jde

Obě chyby jsou přímo v PHP, ne ve WordPressu ani v žádném pluginu. Zjednodušeně řečeno:

• CVE-2026-109618: když PHP při zpracování požadavku narazí v nevhodnou chvíli na limit paměti, zůstanou některá jeho interní data rozpracovaná. PHP s nimi potom zachází, jako by byla v pořádku.
• CVE-2026-109619: po skončení jednoho požadavku může v PHP zůstat odkaz na paměť, která už byla uvolněná. Další požadavek, který obslouží stejný proces, ho pak může použít.

Útočník si takovou situaci umí vyvolat speciálně připraveným požadavkem na web. Podle vývojářů PHP je ohrožená každá instalace, která obsluhuje webové stránky: PHP-FPM, Apache s modulem mod_php, php-cgi, FrankenPHP i LiteSpeed. Nejvyšší riziko je u mod_php, kde útok proběhne dřív, než se vůbec spustí kód webu.

Jak se to seběhlo

Oprava měla původně vyjít až ve čtvrtek 22. října. Informace o chybách ale začaly unikat dřív.

• V úterý 20. října odpoledne začala na diskusních fórech kolovat čísla obou chyb, zatím bez technických podrobností.
• Večer PHP vydání oficiálně ohlásilo a posunulo ho o den dřív. Krátce nato se na internetu objevilo video, na kterém výzkumníci útok předvádějí na aktuálních verzích WordPressu, Joomly, Drupalu, Magenta a dalších systémů.
• Ve středu ráno Cloudflare ohlásil první pokusy o útok a pro své zákazníky zapnul ochranná pravidla.
• Ve středu odpoledne vyšly opravené verze PHP.

Které verze PHP jsou opravené

Opravu obsahují tyto verze. Bezpečná je uvedená verze a každá novější ze stejné řady.

Řada PHP	Opravená verze	Bezpečnostní opravy do
PHP 8.5	8.5.12	31. 12. 2029
PHP 8.4	8.4.27	31. 12. 2028
PHP 8.3	8.3.36	31. 12. 2027
PHP 8.2	8.2.35	31. 12. 2026

Které verze PHP už podporované nejsou

PHP 8.1 a všechny starší verze už od projektu PHP žádné aktualizace nedostávají. Chyby se jich přitom týkají také.

Verze PHP	Podpora skončila
PHP 8.1	31. 12. 2025
PHP 8.0	26. 11. 2023
PHP 7.4	28. 11. 2022
PHP 7.3 a starší	ještě dřív

Kvůli závažnosti chyb připravil bezpečnostní tým PHP pro verze 7.4, 8.0 a 8.1 aspoň úpravu zdrojového kódu. Je určená pro ty, kdo si PHP sami sestavují na vlastním serveru. Na běžném hostingu s ní nepočítejte, dokud vám hosting výslovně nepotvrdí, že ji do své verze doplnil.

Pozor i na PHP 8.2. Opravu sice dostalo, ale jeho podpora skončí 31. prosince 2026, tedy za deset týdnů. Pokud teď web převádíte na novější verzi, zvolte rovnou PHP 8.3 nebo 8.4. Nebudete tak muset za dva měsíce přecházet znovu.

Jak to souvisí s WordPressem

WordPress běží na PHP, a proto je zasažený stejně jako jakákoli jiná aplikace v PHP. Chyba ale není v něm. Oznámení na WordPress.org z 21. října uvádí, že kvůli ní žádná aktualizace WordPressu není potřeba ani se nechystá.

Pro majitele webů z toho plyne několik věcí:

• Aktuální WordPress, šablona a pluginy vás před touto chybou neochrání. Na verzi WordPressu tentokrát nezáleží.
• Útok nepotřebuje přihlášení ani konkrétní plugin. Výzkumníci z firmy Wiz ho ověřili na aktuálních výchozích instalacích WordPressu, Drupalu a Joomly.
• Bezpečnostní plugin ve WordPressu tuhle chybu neopraví. U serverů s mod_php navíc útok proběhne dřív, než se WordPress vůbec načte.
• WordPress pro provoz doporučuje PHP 8.4 nebo novější. Verze 7.4 až 8.1 ještě podporuje, ale jen kvůli zpětné kompatibilitě. WordPress 7.1 je plně kompatibilní s PHP 8.2 až 8.5.

Jak zjistit verzi PHP na webu

V administraci WordPressu otevřete Nástroje › Stav webu, záložku Informace a sekci Server. Verzi PHP najdete i v administraci hostingu. Postup s obrázky máme v návodu Jak ve WordPress zjistit verzi PHP.

Co by se mohlo stát, kdyby PHP zůstalo bez opravy

Kdo může na serveru spustit vlastní kód, má v praxi stejné možnosti jako web sám. U WordPress webu to znamená hlavně tohle:

• přečte soubor wp-config.php s přístupem do databáze, a tím i data zákazníků, objednávky a zprávy z formulářů,
• vloží do webu skrytý vstup (backdoor), přes který se vrátí i po změně hesel,
• založí si nový účet administrátora,
• přidá na web spam, přesměrování na podvodné stránky nebo škodlivý kód, který napadá návštěvníky,
• začne ze serveru rozesílat spam, takže doména a IP adresa serveru skončí na černých listinách a přestanou chodit i vaše běžné e‑maily.

Výzkumníci navíc ukázali, že jde bez přihlášení číst paměť procesů PHP. V ní mohou být hesla, přístupové tokeny a klíče k napojeným službám, například k platební bráně nebo e‑mailingu.

Následky se netýkají jen techniky. Google může napadený web označit jako nebezpečný a prohlížeče před ním začnou varovat. Pokud uniknou osobní údaje zákazníků, musí to provozovatel webu podle GDPR zpravidla do 72 hodin ohlásit Úřadu pro ochranu osobních údajů.

Útoky na podobné chyby jsou automatické. Roboti procházejí internet a zkoušejí je na všech webech, na velikosti ani návštěvnosti webu nezáleží. Podle odhadu, který cituje bezpečnostní firma Tenable, je z internetu dostupných přes 1,3 milionu potenciálně zranitelných serverů.

Jak je to s útoky

Stav k večeru 21. října:

• Cloudflare zachytil první pokusy o útok. Pro všechny tarify včetně bezplatného zapnul pravidla firewallu, která známé varianty útoku blokují. Pomůžou ale jen tehdy, když veškerý provoz na web jde přes Cloudflare. Pokud jde server oslovit napřímo, dá se ochrana obejít.
• Bezpečnostní firma Patchstack zatím vidí jen zkoumání, které weby jsou zranitelné, bez jasného důkazu úspěšného napadení. Ani podle serveru Root.cz zatím nebyl potvrzený žádný útok.
• Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) 21. října vydal upozornění, že informace umožňující zneužití chyb jsou veřejně dostupné. „Doporučení je aktualizovat okamžitě,“ píše úřad.

To, že zatím nikdo nepotvrdil úspěšný útok, není důvod čekat. Z opravy se dá vyčíst, co přesně opravuje, a u takto závažných chyb se hromadné útoky obvykle rozjedou krátce po jejím zveřejnění.

Co udělat teď

1. Zjistěte, jakou verzi PHP web používá (Nástroje › Stav webu › Informace › Server).
2. Máte PHP 8.2 až 8.5? Ověřte u hostingu, že už nasadil opravu z 21. října. Na sdíleném hostingu ji obvykle nainstaluje hosting sám. Na vlastním serveru nebo VPS je to na vás: nainstalovat opravené balíčky a restartovat PHP, aby nová verze běžela ve všech procesech.
3. Máte PHP 8.1 nebo starší? Přepněte web v administraci hostingu na novější verzi, nejlépe rovnou na 8.3 nebo 8.4.
4. Před přepnutím si udělejte zálohu webu. Starší pluginy a šablony nemusí s novou verzí PHP fungovat, proto přechod ideálně vyzkoušejte nejdřív na testovací kopii.
5. Po přepnutí projděte hlavní stránky, formuláře, administraci a u e‑shopu i košík a pokladnu. Když se objeví chyba, je potřeba ji opravit v pluginu nebo šabloně, ne zůstat na staré verzi PHP. Pomůžeme vám s tím v rámci Opravy WordPress webu.
6. Neinstalujte neoficiální „opravné“ pluginy ani kusy kódu z diskusí. Jedinou skutečnou opravou je nová verze PHP.

Pro správce serverů: dočasná opatření

Pokud server nejde aktualizovat hned, PHP doporučuje několik dočasných opatření. Sami vývojáři ale upozorňují, že server bezpečným neudělají a jedinou úplnou opravou je aktualizace.

• nastavit session.upload_progress.enabled=0 v php.ini nebo v poolu PHP-FPM (ne přes .user.ini ani ini_set()) a restartovat všechny procesy PHP,
• snížit post_max_size (8M bez nahrávání souborů, 32M s nahráváním) a omezit velikost požadavků i na webovém serveru,
• zvážit dočasné odpojení služby od internetu, dokud nebude opravená.

Proč se v PHP teď objevuje víc chyb

PHP Foundation k vydání zveřejnila vysvětlení. Obě chyby nahlásili nezávislí výzkumníci už v srpnu, opravy ale vyšly až teď. Foundation sama přiznává, že zdržení způsobil pomalý rozhodovací proces bezpečnostního týmu a nedostatek lidí. Proto mění pravidla rozhodování a žádá firmy, které na PHP stavějí, o financování.

Zároveň přibývá nahlášených chyb. Od července PHP zveřejnilo 15 bezpečnostních chyb (CVE). Běží několik nezávislých bezpečnostních auditů a výzkumníci používají nové nástroje, které chyby hledají automaticky. Bezpečnostních oprav PHP proto nejspíš bude přibývat. Vyplatí se mít web na verzi, která je pravidelně dostává.

Klienti ve správě to mají podchycené

Pokud máte web u nás ve Správě WordPress webu, máme to z naší strany podchycené. Ještě týž den jsme zkontrolovali verzi PHP u všech webů, které spravujeme. Weby na nepodporované verzi převádíme na novější PHP, ostatní dostanou opravu od svého hostingu.

Web spravujete sami? Podobné opravy přicházejí bez varování a často je potřeba jednat ještě týž den. Ve Správě WordPress webu aktualizujeme WordPress, šablony i pluginy, při bezpečnostní chybě hned. Děláme denní zálohy 90 dní zpět, web hlídáme 24 hodin denně a při výpadku jednáme s hostingem za vás. A když vyjde oprava jako tahle, ozveme se vám sami.