Kritické chyby v PHP: čo musí urobiť majiteľ webu na WordPresse

PHP, programovací jazyk, na ktorom beží WordPress aj väčšina ostatných webov, má dve kritické bezpečnostné chyby. Útočník cez ne môže na serveri spustiť vlastný kód bez akéhokoľvek prihlásenia. Opravy vyšli 21. októbra 2026, no aktualizácia WordPressu ani pluginov ich na web neprinesie. Opraviť treba samotné PHP na serveri a weby na verzii 8.1 a staršej oficiálnu opravu nedostanú vôbec. V článku nájdete, čo sa stalo, kto má chybu opraviť a ako zistiť, či sa to týka aj vášho webu.

Najdôležitejšie v skratke

• Chyby CVE-2026-109618 a CVE-2026-109619 majú hodnotenie závažnosti 9,2 z 10 a týkajú sa všetkých verzií PHP od 5.0.
• Opravené verzie sú PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35.
• Na väčšine webov chybu opraví hosting, nie majiteľ webu. Majiteľ má skontrolovať, na akej verzii PHP web beží.
• PHP 8.1 a staršie už nemá podporu. Web na takej verzii treba presunúť na novšiu.

Čo sa stalo

Bezpečnostný tím PHP 20. októbra 2026 ohlásil, že o deň neskôr vydá mimoriadne opravy dvoch kritických chýb. Podrobnosti mali ostať neverejné až do vydania opráv, ale technické informácie unikli skôr. Podľa Národného centra kybernetickej bezpečnosti SK-CERT, ktoré na chyby upozornilo na webe NBÚ, už verejne dostupný výskum opisuje, ako aspoň jednu z nich zneužiť.

Obe chyby patria do skupiny vzdialené spustenie kódu (remote code execution, RCE). Útočník nepotrebuje heslo ani účet na webe, stačí mu poslať na server špeciálne pripravenú požiadavku. Ak uspeje, môže na serveri robiť to isté ako web: čítať databázu s objednávkami a kontaktmi, meniť obsah, vložiť na web škodlivý kód alebo ho vyradiť z prevádzky. Hodnotenie závažnosti CVSS (medzinárodná stupnica od 0 do 10) je pri oboch chybách 9,2.

Opravy vyšli 21. októbra 2026 o 16:00 nášho času, oznámenie je na php.net. Tím pre kybernetické hrozby Európskej únie CERT-EU v svojom upozornení odporúča weby, ktoré sa nedajú hneď aktualizovať, odpojiť z internetu.

Opravené verzie PHP a dokedy majú podporu, podľa php.net.

V deň vydania opráv nebolo potvrdené, že by útočníci chyby už zneužívali. Postup zneužitia je však verejný, preto treba počítať s pokusmi o útok skôr, než opravu dostanú všetky servery.

Prečo sa to týka webov na WordPresse

WordPress je napísaný v PHP. Keď návštevník otvorí stránku, server ju vyrobí pomocou PHP a až potom ju pošle do prehliadača. Rovnako fungujú aj Joomla, Drupal, PrestaShop či WooCommerce.

Chyba nie je vo WordPresse, v téme ani v pluginoch. Je v samotnom PHP, preto ju neodstráni aktualizácia WordPressu, pluginov ani bezpečnostný plugin. Pri niektorých nastaveniach servera môže útok prebehnúť skôr, než sa WordPress vôbec spustí, takže ho žiadne nastavenie vo WordPresse nezastaví.

Kto chybu opraví

Záleží na tom, kde web beží.

• Bežný webhosting: väčšina webov malých firiem beží na zdieľanom hostingu. PHP tam inštaluje a aktualizuje poskytovateľ hostingu a majiteľ webu k nemu prístup nemá. Linuxové distribúcie dostali opravy vopred, takže hostingy ich môžu nasadiť rýchlo.
• Vlastný server (VPS) alebo server, ktorý spravuje agentúra: aktualizáciu PHP musí urobiť ten, kto server spravuje. Po aktualizácii treba PHP reštartovať, inak na serveri beží ďalej stará verzia. Weby v kontajneroch Docker treba znova zostaviť z opraveného obrazu, samotný reštart nestačí.

Ak si nie ste istí, či hosting opravy nasadil, opýtajte sa jeho podpory. Stačí krátka otázka, kedy nasadí opravené verzie PHP z 21. októbra 2026.

Hosting alebo správca servera môžu do vydania opravy zaviesť aj dočasné opatrenia v nastavení servera. Tie chybu neodstránia, len sťažia niektoré spôsoby útoku, a majiteľ webu ich na zdieľanom hostingu urobiť nemôže.

Ako zistiť verziu PHP na webe

Vo WordPresse to zistíte v administrácii:

1. V ľavom menu otvorte Nástroje a Zdravie webovej stránky.
2. Na karte Status kliknite dole na Absolvované testy.
3. Nájdite riadok "Vaša webová stránka beží na ... verzii PHP". Číslo v zátvorke je verzia PHP webu.

Verzia PHP na karte Status. Tento web už beží na opravenej verzii 8.3.36.

Ak WordPress považuje verziu PHP za zastaranú, ukáže ju hneď hore medzi zistenými problémami a na Absolvované testy netreba klikať.

Na zelenú značku sa však nespoliehajte. WordPress porovnáva verziu PHP so svojím odporúčaním, dnes je to 8.3, a o konkrétnych bezpečnostných opravách nevie. V deň vydania opráv tak verziu 8.3.31, ktorá opravu nemala, označil rovnako ako opravenú 8.3.36: "beží na odporúčanej verzii PHP". Rozhoduje číslo v zátvorke.

Číslo porovnajte s opravenými verziami:

• 8.5.12, 8.4.27, 8.3.36, 8.2.35 alebo vyššie číslo v rámci tej istej verzie: web beží na opravenom PHP.
• 8.2 až 8.5 s nižším číslom za druhou bodkou, napríklad 8.3.14: oprava na serveri zatiaľ nie je. Ozvite sa hostingu.
• 8.1 a staršie: oficiálna oprava pre túto verziu neexistuje. Riešením je prechod na novšiu verziu, viac v ďalšej časti.

Niektoré hostingy a linuxové distribúcie dopĺňajú opravy do staršej verzie bez zmeny jej čísla. Číslo nižšie ako v zozname teda ešte neznamená, že je web ohrozený. Istotu dá odpoveď hostingu.

Web beží na PHP 8.1 alebo staršom

PHP 8.1 skončila podpora 31. decembra 2025, staršie verzie ju stratili ešte skôr. Projekt PHP pre ne opravy nevydá. Zverejnil síce zdrojové úpravy pre verzie 7.4, 8.0 a 8.1, ale tie musí poskytovateľ servera sám zapracovať a nainštalovať, a bežný hosting to pre staré verzie robiť nemusí.

Web treba presunúť na podporovanú verziu. Odporúčam rovno PHP 8.3 alebo novšie. Podpora PHP 8.2 končí 31. decembra 2026 a o pár mesiacov by bolo treba prechod opakovať.

Na väčšine hostingov sa verzia PHP prepína v administrácii hostingu jedným nastavením. Samotné prepnutie je jednoduché, riziko je v tom, čo príde potom. Staršia téma alebo plugin, ktorý autor dávno neaktualizoval, nemusí s novou verziou PHP fungovať a časť webu alebo celý web môže prestať fungovať. Preto:

1. Urobte si zálohu súborov webu aj databázy.
2. Aktualizujte WordPress, tému a pluginy na najnovšie verzie. Pluginy, ktoré roky nedostali aktualizáciu, sú prvé na kontrolu. Ako WordPress overuje aktualizácie pluginov, opisuje článok WordPress kontroluje každú aktualizáciu pluginu.
3. Prepnite verziu PHP a hneď prejdite hlavné časti webu: úvodnú stránku, formuláre, košík a objednávku, prihlásenie do administrácie.
4. Ak sa niečo pokazí, vráťte starú verziu len na čas, kým sa chyba v téme alebo plugine opraví. Web na nepodporovanom PHP nemá ostať natrvalo.

Zhrnutie

Dve kritické chyby v PHP sa týkajú takmer každého webu na WordPresse, opraviť ich však treba na serveri, nie vo WordPresse. Skontrolujte verziu PHP v časti Zdravie webovej stránky. Ak je nižšia ako opravené verzie, opýtajte sa hostingu, kedy opravu nasadí. Ak je 8.1 alebo staršia, naplánujte čo najskôr prechod na PHP 8.3 alebo novšie, so zálohou a kontrolou webu po prepnutí.

Ak potrebujete pomoc s webom alebo s prechodom na novšiu verziu PHP, napíšte mi. Skontrolujem, či téma a pluginy novú verziu zvládnu, a prechod urobím tak, aby web ostal funkčný. Ak nechcete podobné upozornenia sledovať sami, pozrite si správu webu.