Aktuálne · 23. 10. 2026
Kritická diera v PHP: čo znamená pre váš WordPress web
PHP je jazyk, na ktorom beží každý WordPress. Našla sa v ňom bezpečnostná diera, cez ktorú môže útočník prevziať web bez hesla. Bezpečnostné firmy už zachytili prvé pokusy o útok.
Čo sa stalo
21. októbra 2026 vydali autori PHP mimoriadne bezpečnostné opravy dvoch chýb, ktoré odborníci nazvali PHP2Shell. Obe dostali hodnotenie závažnosti 9,2 z 10. Útočník cez ne môže na serveri spustiť vlastný kód bez toho, aby sa musel prihlásiť. Inými slovami, môže prevziať celý web: zmeniť ho, ukradnúť z neho údaje alebo ho použiť na ďalšie útoky.
Zaujímavé je, ako sa na chyby prišlo. Našli ich výskumníci z bezpečnostnej firmy Wiz s pomocou umelej inteligencie. Tá im pomohla odhaliť chybu, ktorá sa v PHP skrývala roky, a rýchlo k nej zostaviť funkčný útok.
Reakcia bola okamžitá. Vlády v Nemecku, Francúzsku, Belgicku, Fínsku a Holandsku preventívne vypli svoje weby. Vo Veľkej Británii bolo naraz mimo prevádzky 32 vládnych služieb a offline išiel aj web austrálskej agentúry pre kybernetickú bezpečnosť.
Web na PHP 8.1 alebo staršom opravu nedostane
Pre PHP 8.1 a staršie nevyšla žiadna oficiálna opravená verzia. Chyba je pritom verejne známa a útočníci ju už skúšajú zneužiť.
Rovnaké nástroje s umelou inteligenciou, ktoré chybu pomohli nájsť, vedia útočníkom automaticky vyhľadať neopravené weby po celom internete. Len v deň vydania opráv analytici napočítali vyše 1,5 milióna neopravených serverov. Ak váš web beží na PHP 8.1 alebo staršom, môže byť medzi nimi aj ten váš.
Ktoré weby sú ohrozené
Chyba sa týka PHP samotného, takže sa nevyhýba žiadnemu WordPress webu. Rozhoduje, akú verziu PHP má váš server:
- PHP 8.1 a staršie oficiálnu opravu už nedostanú. Web na nich ostáva ohrozený natrvalo a treba ho presunúť na novšie PHP.
- Novšie verzie sú v bezpečí až vtedy, keď je na serveri nasadená oprava z 21. októbra.
Ako zistíte, či sa vás to týka
Vo WordPresse otvorte Nástroje, potom Stav webu a kartu Informácie. V časti Server nájdete verziu PHP.
Ak tam vidíte 8.1 alebo nižšie číslo, oficiálnu opravu už nedostanete a web treba presunúť na novšie PHP. Pri vyššej verzii nie je isté, či už má váš server opravu z 21. októbra. Radi to overíme a web dáme do aktuálneho stavu.
Verziu PHP vám ukáže aj naša bezplatná diagnóza, ak ju váš server prezrádza.
Časté otázky
Ako zistím verziu PHP svojho webu?
Vo WordPresse v časti Nástroje, Stav webu, na karte Informácie v sekcii Server. Ukáže ju aj bezplatná diagnóza WP Doktor, ak ju server prezrádza.
Ktoré verzie PHP dostali opravu?
Opravy vyšli 21. 10. 2026 pre podporované vetvy: PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12.
Môžem zostať na PHP 8.1?
Nie je to bezpečné. PHP 8.1 skončilo bezpečnostnú podporu 31. 12. 2025 a opravu tejto chyby nedostane.
Čo hrozí, ak web zostane na starom PHP?
Chyba je verejne známa a útočníci ju už skúšajú zneužiť. Cez ňu môžu prevziať web bez hesla, zmeniť ho, ukradnúť z neho údaje alebo ho zneužiť na ďalšie útoky.
Dáme váš web do aktuálneho stavu
Overíme verziu PHP na vašom serveri, bezpečne prejdeme na novú a skontrolujeme, či s ňou funguje celý web: téma, pluginy aj e‑shop.
Zdroje: varovanie SK-CERT (Národný bezpečnostný úrad), php.net, Wiz, The Register, SecurityWeek
Ďalšie články v Poradni
Technické SEO
Obrázky bez alternatívneho textu: čo na vašom webe zostáva nevysvetlené?
Obrázky bez alternatívneho textu môžu návštevníkom zamlčať dôležité informácie. Zistite, kedy alt text doplniť a kedy ho správne ponechať prázdny.
Technické SEO
H1 nadpisy vo WordPresse: čo ak chýbajú alebo ich je priveľa?
Chýba na vašom WordPresse H1 alebo ich máte na stránke priveľa? Zistite, čo nález znamená a ako majú nadpisy tvoriť zrozumiteľnú štruktúru.