Kritická zranitelnost PHP: proč záleží na hostingu i na tom, jak je web postavený

Co se vlastně stalo?

V říjnu 2026 se začalo mluvit o dvou vážných chybách v PHP. Odborně nesou označení CVE-2026-109618 a CVE-2026-109619, zkráceně se jim říká PHP2Shell.

PHP je jazyk, ve kterém běží velká část webů na světě. Proto je to vážné: chyba není v jednom konkrétním webu, ale v základu, na kterém weby stojí.

Za určitých podmínek přes ně může útočník na dálku spustit na serveru svůj vlastní program, a to bez hesla a bez přihlášení. Web pak může přestat fungovat, mohou z něj uniknout data, nebo se ho útočník zmocní celého. Závažnost chyby je hodnocená 9,2 z 10.

Nejde tedy o chybu jedné šablony nebo jednoho doplňku. Chyba v samotném PHP se může týkat jakéhokoli webu bez ohledu na to, jestli běží na WordPressu, na jiném systému, nebo na řešení na míru.

Proč záleží na tom, kdo se stará o hosting

Partnerský odkaz

Podobné situace připomínají jednu zásadní věc: bezpečnost webu nezáleží jen na tom, kdo ho postavil.

Web běží na serveru, tedy na počítači u poskytovatele hostingu. Na něm je potřeba průběžně aktualizovat PHP i všechno ostatní. Když se objeví vážná chyba, rozhoduje i to, jak rychle poskytovatel hostingu zareaguje.

Proto u našich webů zajišťujeme hosting na první rok v ceně webu. Weby běží na serverech společnosti VEDOS, která se o jejich provoz stará a bezpečnostní chyby na nich opravuje.

U PHP2Shell VEDOS oznámil, že opravu nasadil na své servery. Oprava existuje pro PHP 8.2 a novější. Starší verze už tvůrci PHP neopravují, u nich VEDOS děravou funkci jen vypnul. Naše weby běží na podporovaných verzích a opravu dostaly ve chvíli, kdy ji VEDOS nasadil. Ověřili jsme to ještě ten večer.

Co znamená „podporovaná verze"? PHP vychází v nových verzích a každá se opravuje jen omezenou dobu. Naše weby běží na PHP 8.4, novější už na PHP 8.5, tedy na dvou nejnovějších verzích. Obě opravu dostaly a obě budou dostávat bezpečnostní opravy ještě roky: PHP 8.4 do konce roku 2028, PHP 8.5 do konce roku 2029. Pro klienta to znamená, že web nebude za rok zastaralý a nebude ho potřeba kvůli zabezpečení předělávat.

Pro naše klienty je to součást celého řešení. Nemusí sami vybírat hosting, hlídat, jestli se server aktualizuje, ani řešit technické věci, které patří do rukou správce serveru.

Kvalitní web potřebuje dobře napsaný kód a k tomu místo, kde bezpečně běží.

Další vrstva ochrany: vlastní CMS místo univerzálního systému

Vedle serveru záleží i na tom, jak je postavený samotný web.

Pro naše weby používáme vlastní CMS, tedy administraci, ve které si web upravujete. Vyvíjíme ji sami podle toho, co konkrétní web potřebuje. Nestavíme automaticky na hotovém systému s hromadou cizích doplňků, který zná každý.

To má několik praktických výhod.

Vlastní CMS obsahuje jen to, co web doopravdy potřebuje. Nemusíte udržovat hromadu cizích doplňků a odpadá i část rizik: každý doplněk navíc je další místo, kde může být chyba nebo špatné nastavení.

Rozdíl je i v tom, na co míří automatické útoky. Vedou je programy, kterým se říká boti, a ty bez přestání prohledávají internet. WordPress je kvůli své rozšířenosti jejich častým cílem: hledají známou adresu přihlášení, zastaralé instalace a děravé doplňky. Vlastní CMS pro tyhle hromadné útoky není tak snadný cíl.

Neznamená to, že vlastní řešení nemůže mít chybu. Znamená to ale, že máme pod kontrolou, co všechno web obsahuje, na čem závisí a jak je vidět zvenku, z internetu.

Dohromady to dává smysl: méně zbytečných součástek ve webu a dobře spravovaný server.

Bezpečnost se nedělá jednou provždy

Ani kvalitní hosting, ani vlastní CMS samy o sobě nezaručí stoprocentní bezpečnost. Chyba se může objevit v samotném PHP, v kódu webu nebo v některé z hotových součástek, které web používá.

Rozdíl je v tom, jestli se s tím počítá už při návrhu webu a jestli je jasné, kdo chybu opraví, když přijde.

Proto při tvorbě webů přemýšlíme nad vzhledem, rychlostí a tím, aby web přinášel poptávky. A stejně tak nad tím, na čem poběží, co doopravdy potřebuje a kdo se o něj bude starat.

Aktuální chyby v PHP znovu připomínají, že profesionální web není jen hotová stránka. Je to řešení, které musí fungovat a někdo se o něj musí starat i dlouho po spuštění.

Web je jako ledovec. To nejdůležitější často není na první pohled vidět.

Zdroje a další informace