Kritická chyba v PHP: ohrožuje váš web? Jak zkontrolovat WordPress za 2 minuty
Koncem října 2026 se internetem začala šířit znepokojivá zpráva: v PHP byla objevena kritická bezpečnostní chyba označená jako CVE-2026-109618 a CVE-2026-109619, neformálně přezdívaná php2shell. Chyba umožňuje útočníkovi převzít kontrolu nad webovým serverem bez jakéhokoliv hesla nebo přihlášení — stačí znát adresu webu.
Pokud provozujete web na WordPressu, Joomle, Drupalu nebo jakémkoliv jiném systému postaveném na PHP, čtěte dál.
Co přesně chyba php2shell umí
Jde o takzvanou RCE zranitelnost (Remote Code Execution) — útočník může na vašem serveru vzdáleně spouštět libovolný kód. V praxi to znamená, že může:
- stáhnout a promazat veškerá vaše data
- nainstalovat na server škodlivý software (malware, ransomware)
- zneužít server k útokům na další weby
- ukrást přihlašovací údaje vašich zákazníků
- zobrazit návštěvníkům falešný obsah nebo je přesměrovat jinam
Nejhorší na tom je, že útok nevyžaduje žádnou interakci z vaší strany. Nepomůže silné heslo, dvoufaktorové ověření ani bezpečnostní plugin. Pokud web běží na zranitelné verzi PHP, je vystaven.
Které verze PHP jsou ohroženy
Chyba se týká PHP 5.4 a všech novějších verzí až po PHP 8.2.34, 8.3.35 a 8.4.26. Bezpečné jsou teprve záplatované verze:
- PHP 8.2.35 a novější
- PHP 8.3.36 a novější
- PHP 8.4.27 a novější
- PHP 8.5.12 a novější
PHP 8.1 a starší záplatu nedostanou vůbec — jsou za hranicí aktivní podpory. Pokud váš web běží na PHP 7.x nebo 8.0, 8.1, je nutná ruční aktualizace na novější řadu.
Jak zjistit verzi PHP vašeho WordPressu
Postup je jednoduchý a zvládnete ho sami za dvě minuty. Přihlaste se do administrace WordPressu a v levém menu klikněte na Nástroje → Zdraví webu. Přejděte na záložku Info a rozbalte sekci Server. Hned první řádek ukazuje Verze PHP.
Pokud vidíte číslo nižší než 8.2.35, 8.3.36 nebo 8.4.27, váš web je potenciálně zranitelný a je třeba co nejdříve kontaktovat správce hostingu.
Proč nestačí jen aktualizovat WordPress
Mnoho majitelů webů si myslí, že pravidelnou aktualizací WordPressu a pluginů mají vše pokryté. Chyba php2shell ale nesouvisí s WordPressem samotným — jde o zranitelnost na úrovni serveru, v jazyce PHP. WordPress ani žádný plugin ji nemůže opravit. Záplata musí přijít od hostingu nebo správce serveru.
Právě proto je důležité vědět, kdo váš web spravuje a kdo odpovídá za aktualizace serverového prostředí. Pokud to nevíte, je nejvyšší čas to zjistit — nebo svěřit péči o web někomu, kdo to sleduje za vás. Podobně jako u technického SEO platí, že problémy pod povrchem nejsou vidět, dokud nezpůsobí škodu.
Jak aktualizovat PHP na hostingu
Postup se liší podle poskytovatele hostingu, ale obecně platí:
- Sdílený hosting (Wedos, Forpsi, Active24 apod.) — v administraci hostingu hledejte nastavení PHP nebo verzi PHP pro danou doménu. Změna bývá otázkou jednoho kliknutí. Doporučuji vybrat PHP 8.3 nebo 8.4.
- VPS nebo dedikovaný server — aktualizaci provádí správce serveru příkazem přes SSH. Pokud server spravujete sami a nejste si jistí, obraťte se na odborníka.
- Managed WordPress hosting (Kinsta, WP Engine apod.) — tito poskytovatelé aktualizace PHP obvykle řeší automaticky nebo vás sami upozorní.
Po aktualizaci PHP vždy zkontrolujte, že web funguje správně — některé starší pluginy nebo šablony mohou mít s vyšší verzí PHP drobné problémy. Proto je dobré mít vždy zálohu a pravidelnou správu WordPressu.
Nestačí jen záplatovat PHP — zkontrolujte i pluginy
Při bezpečnostní kontrole serverů svých klientů jsem při té příležitosti zkontroloval i stav pluginů. Na většině webů čekaly neaktualizované pluginy — a právě zastaralé pluginy jsou druhým nejčastějším vstupním bodem pro útočníky. Platí jednoduché pravidlo: zastaralý plugin = otevřené dveře.
Pokud chcete mít přehled o tom, v jakém stavu váš web skutečně je, pomůže vám technický audit nebo pravidelná správa.
Mohu vám web zkontrolovat zdarma
Pokud si nejste jistí, na jaké verzi PHP váš web běží, nebo chcete mít jistotu, že je vše v pořádku, nabízím bezplatnou kontrolu verze PHP a stavu pluginů. Ověřím, zda je váš web zranitelný, a pošlu vám jasnou zprávu o tom, co případně řešit.
Pokud kontrola odhalí, že je potřeba PHP aktualizovat, postarám se o to za vás. Upgrade PHP zpravidla zabere 1–2 hodiny práce a účtuji ho podle své standardní hodinové sazby. Po aktualizaci ověřím, že web funguje správně, a dostanete ode mě potvrzení s novou verzí PHP.
Stačí mě kontaktovat přes kontaktní formulář — odpovím do 24 hodin.
A pokud zjistíte, že váš web potřebuje nejen bezpečnostní péči, ale třeba i celkový restart, podívejte se na mé služby správy a tvorby webů nebo si přečtěte, jak poznat, že je čas udělat nový web.
