Tým PHP dnes, 21. října 2026, vydává mimořádnou bezpečnostní aktualizaci. Opravuje dvě kritické chyby v jádru PHP, kvůli kterým může útočník na serveru spustit vlastní kód. Na managed servery hned po vydání nasadíme bezpečnostní aktualizaci, kterou dostanou verze PHP 8.2 a novější. Verzi PHP vašich webů ale automaticky neměníme. Pokud některý web nebo subdoména běží na PHP 8.1 či starším, je potřeba verzi změnit sami v aplikaci WPCloud.
Co se stalo
Bezpečnostní tým PHP 20. října oznámil, že chystá opravu dvou kritických zranitelností. Bezpečnostní firmy je uvádějí pod označením CVE-2026-109618 a CVE-2026-109619. Obě mají hodnocení závažnosti 9,2 z 10. Informace o nich unikly na veřejnost dřív, než byla oprava hotová. Oprava vychází 21. října v 16:00 našeho času.
Podle dostupných informací může útočník chyby zneužít na dálku a bez přihlášení, spustit na serveru libovolný kód a převzít kontrolu nad webem. Útok míří na samotné PHP, takže před ním neochrání aktuální pluginy, silná hesla ani bezpečnostní plugin. Bezpečnostní firmy počítají s hromadnými útoky krátce po vydání opravy.
Které weby jsou ohrožené
Opravu dostanou jen verze PHP, které tým PHP ještě podporuje, tedy 8.2, 8.3, 8.4 a 8.5. Chyby se přitom podle bezpečnostních firem týkají všech verzí od PHP 5.4. Weby na PHP 8.1 a starším tak zůstanou zranitelné i po aktualizaci serveru.
- PHP 8.2 a novější: opravu nasadíme na server my, nemusíte nic dělat.
- PHP 8.1 a starší: verzi PHP je potřeba co nejdříve změnit na 8.2 nebo novější.
Proč verzi PHP neměníme za vás
Na managed serveru si nastavení svých webů spravujete sami, a proto verzi PHP automaticky neměníme. Změna navíc může u starších webů, šablon a pluginů způsobit, že web přestane fungovat a skončí kritickou chybou. Je proto lepší, když změnu provedete vy nebo váš webmaster a web hned poté zkontrolujete.
Co udělat
- Přihlaste se do aplikace app.wpcloud.cz a otevřete Detail serveru.
- Zkontrolujte verzi PHP u všech domén. Pokud některá běží na PHP 8.1 nebo starším, změňte ji na PHP 8.2 nebo novější. Doporučujeme rovnou PHP 8.3 nebo 8.4, protože podpora PHP 8.2 končí 31. prosince 2026.
- Projděte i sekci Služby a zkontrolujte subdomény. Každá subdoména může mít vlastní verzi PHP. Snadno se zapomene na starou testovací kopii, staging na adrese typu dev.vasedomena.cz nebo předchozí verzi webu. Zranitelná subdoména může ohrozit i ostatní weby na serveru.
- Před změnou aktualizujte WordPress, šablonu i pluginy. Aktuální verze bývají s novým PHP kompatibilní.
- Pokud si nejste jistí, vyzkoušejte změnu nejdřív na stagingu. Vytvořte si kopii webu nástrojem Staging, změňte u ní verzi PHP a ověřte, že vše funguje. Teprve potom změňte verzi na ostrém webu.
- Po změně web zkontrolujte. Projděte hlavní stránky, formuláře i administraci. Pokud web skončí kritickou chybou, WordPress obvykle pošle na e-mail administrátora zprávu, který plugin nebo šablona chybu způsobil, a odkaz pro přihlášení v režimu obnovení.
Potřebujete pomoct?
Pokud si se změnou verze PHP nebudete vědět rady nebo po ní web nebude fungovat, kontaktujte naši podporu. Rádi vám se změnou pomůžeme.
Situace se vyvíjí. Článek doplníme, jakmile tým PHP zveřejní podrobnosti a opravené verze. Stav k 21. říjnu 2026.
Zdroje
- PHP: oznámení mimořádné bezpečnostní aktualizace (anglicky)
- CERT-EU: bezpečnostní upozornění 2026-018 (anglicky)
- Sansec: analýza zranitelností (anglicky)
- PHP: přehled podporovaných verzí (anglicky)
