Stručně: PHP, Node.js, Python a Java se hodí pro webové aplikace; liší se hlavně tím, jak se kód provádí a provozuje. Klasické PHP začíná každý požadavek s prázdným stavem, Node.js pracuje se smyčkou událostí v dlouhodobě běžícím procesu, webové aplikace v Pythonu běží přes rozhraní jako WSGI, aplikace v Javě v trvale běžící JVM. Žádný z těchto jazyků není sám o sobě bezpečný ani nebezpečný. Rozdíl dělají aktuální běhová prostředí, udržované závislosti a proces záplatování, který zahrnuje i restarty.
Proč se srovnání dělá po PHP2Shell
Když zranitelnost jako PHP2Shell plní titulky a BSI vyhlásí výstražný stupeň oranžový, vedení firem se právem ptá: nestalo by se to s jiným jazykem? Poctivá odpověď zní: zranitelnost přesně tohoto druhu ne, jiné zranitelnosti ano. Každé běhové prostředí je software a každé mělo ve své historii kritické chyby.
Srovnání se přesto vyplatí, protože modely mají různé silné stránky a rizika. Kdo je zná, rozhoduje o architektuře vědoměji. Podíly na trhu přitom nehrají roli; čísla neuvádíme, protože dostupná šetření měří různé věci.
Modely provádění v přehledu
| Znak | PHP | Node.js | Python | Java |
|---|---|---|---|---|
| Typické provádění | workery vyřizují požadavky, stav na požadavek | jeden dlouhodobý proces se smyčkou událostí | aplikace za aplikačním serverem, rozhraní WSGI | dlouhodobá aplikace v JVM |
| Stav mezi požadavky | klasicky zahozen, v režimech worker zachován | zůstává v procesu | zůstává v procesu | zůstává v procesu |
| Správa balíčků | Composer | npm | pip | Maven, Gradle |
| Typický hosting | sdílený hosting až kontejnery | vlastní server, kontejnery, platformní služby | vlastní server, kontejnery, platformní služby | aplikační servery, kontejnery |
| Rozšířené oblasti nasazení | CMS, e-shopy, portály | reálný čas, API, služby blízké frontendu | analýza dat, API, automatizace | velké podnikové aplikace |
Poznámka k Node.js z vlastní dokumentace: smyčka událostí umožňuje neblokující vstup a výstup, i když ve výchozím stavu běží jen jedno vlákno JavaScriptu. Pro Python stanovuje PEP 3333 rozhraní mezi webovým serverem a aplikací v Pythonu.
Silné stránky PHP
PHP bylo vytvořeno pro web a v provozu je to znát. Téměř každý poskytovatel hostingu nabízí PHP, od malého webhostingu po datové centrum. Běží na něm systémy jako WordPress, TYPO3, Shopware, Drupal nebo Nextcloud, stejně jako frameworky Laravel a Symfony.
Klasický model má vestavěnou výhodu pro stabilitu: protože každý požadavek začíná s prázdným stavem, málokdy se úniky paměti nebo chybné stavy táhnou z požadavku na požadavek. Chyba obvykle postihne jen onen jeden požadavek. Jak tento průběh funguje podrobně, vysvětluje životní cyklus požadavku.
Moderní verze PHP přinášejí striktní typy, enumy, atributy a kompilátor JIT. Projekt PHP vydává verze v pevném rytmu se dvěma roky aktivní podpory a dvěma roky bezpečnostních oprav.
Silné stránky alternativ
Node.js uplatní své přednosti u mnoha současných spojení, například u chatů, živých dat nebo WebSockets. Frontend a backend mohou používat stejný jazyk.
Python je silný, když se webové aplikace spojují s analýzou dat, strojovým učením nebo automatizací, protože knihovny pro to jsou doma v Pythonu.
Java je rozšířená ve velkých organizacích, které potřebují dlouhé životní cykly, silné typování a vyspělé nástroje pro velmi velké kódové báze.
Žádná z těchto předností nedělá z jazyka lepší volbu pro firemní web nebo e-shop, který běží na zavedeném systému v PHP. Výběr závisí spíše na stávajícím týmu, systémové krajině a požadavcích. Přehled o straně PHP podává stránka Přehled frameworků PHP.
Srovnání z hlediska bezpečnosti: na čem skutečně záleží
U bezpečnosti stojí za pohled na tři úrovně, které jsou ve všech čtyřech světech stejně důležité:
- Běhové prostředí: interpret nebo virtuální stroj musí být aktuální. U PHP2Shell ležela zranitelnost v samotném PHP; u jiných běhových prostředí byly a jsou vlastní bezpečnostní aktualizace. Všude platí: po aktualizaci je nutné běžící procesy restartovat.
- Závislosti: Composer, npm, pip a Maven přinášejí do projektu cizí kód. Log4Shell byla zranitelnost v knihovně Javy, ne v Javě samotné. Srovnání obou případů provádí článek PHP2Shell a Log4Shell.
- Vlastní kód: OWASP Top 10 platí pro každý jazyk. SQL injection, chybná kontrola přístupu nebo nebezpečná konfigurace vznikají v Node.js stejně jako v PHP.
Rozdíl v modelu je pozoruhodný: dlouhodobé procesy, jaké jsou běžné u aplikací v Node.js, Pythonu nebo Javě, drží stav vědomě napříč požadavky. Oddělení mezi požadavky tam leží v odpovědnosti aplikace. Klasické PHP naproti tomu stav resetuje samo; CVE-2026-109619 ukázala, co se stane, když je toto resetování uvnitř PHP chybné. Oba modely tedy mají své vlastní místo, kde musí být stav čistě oddělen.
Změna jazyka nenahrazuje správu záplat. Kdo dnes nedokáže rychle nasazovat aktualizace PHP, bude to mít s jiným běhovým prostředím stejně těžké.
Jak konkrétně pomáhá PHP SOS?
- Zařadit situaci: Posoudíme, zda vaše riziko spočívá v jazyce, verzi, nebo provozu.
- Zkontrolovat současný stav: Verze běhových prostředí, závislosti a konfigurace, i u smíšených prostředí s PHP a jinými jazyky.
- Otestovat aplikaci: V bezpečnostním auditu a penetračním testu prověříme vaši aplikaci nezávisle na jazyce.
- Připravit rozhodnutí: Pokud je změna na stole, věcně postavíme proti sobě náklady, rizika a alternativy.
Časté dotazy
Je PHP méně bezpečné než Node.js, Python nebo Java?
Ne zásadně. Každé běhové prostředí má bezpečnostní zranitelnosti a Java měla se zranitelností Log4Shell obzvlášť známou, v knihovně. Rozhodující jsou aktuální verze, udržované závislosti a fungující proces záplatování.
Měli bychom po PHP2Shell změnit jazyk?
Změna jazyka je velký projekt a základní problém neřeší: i jiná běhová prostředí potřebují aktualizace a restarty. Smysluplnější je většinou udržovat PHP aktuální a zpevnit provoz.
Co znamená shared nothing u PHP?
V klasickém provozu začíná každý požadavek s prázdným stavem aplikace a na konci uvolní svou paměť. Data mezi požadavky leží v databázi, cache nebo relaci, ne v procesu.
Který jazyk je nejrychlejší?
Silně to závisí na úkolu. U typických webových aplikací určují dobu odezvy většinou více databáze, síť a architektura než jazyk. Plošné žebříčky při rozhodování příliš nepomáhají.