# Zraniteľnosť PHP vo WordPresse (PHP2Shell): čo musia prevádzkovatelia urobiť

> PHP2Shell sa týka WordPressu cez PHP, nie cez jadro. Skontrolujte verziu PHP, uploady, mu-plugins a administrátorov a zabezpečte svoj web.

Zdroj: https://phpsos.de/sk/plattformen/wordpress/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** Zraniteľnosť PHP, o ktorej sa teraz píše a ktorá sa týka WordPressu, nie je vo WordPresse, ale v PHP na serveri pod ním. Aktualizácia WordPressu preto PHP2Shell neuzatvorí. Rozhodujúce sú stav záplat PHP, reštart všetkých procesov PHP a kontrola typických úkrytov, ako sú `wp-content/uploads` a `mu-plugins`.

## Prečo aktualizácia WordPressu PHP2Shell neodstráni

WordPress je aplikácia napísaná v PHP. Zraniteľnosti CVE-2026-109618 a CVE-2026-109619 sú o úroveň nižšie, v samotnom interpreteri PHP. Podľa tímu PHP umožňujú spustenie škodlivého kódu na diaľku bez prihlásenia. Pri Apache s mod_php bol predvedený exploit ešte predtým, než sa vôbec spustí kód WordPressu.

Web s aktuálnym jadrom, aktuálnymi pluginmi a silnými heslami môže byť teda napriek tomu zraniteľný, ak je PHP pod ním staré. A naopak: záplatované PHP nedokazuje, že sa predtým nič nestalo. Súvislosti vysvetľujeme na stránke [Čo je PHP2Shell?](https://phpsos.de/sk/php2shell/was-ist-php2shell/).

| Úroveň | Kto aktualizuje | Uzatvára PHP2Shell? |
|---|---|---|
| Jadro WordPressu | Vy alebo vaša agentúra | Nie |
| Pluginy a témy | Vy alebo vaša agentúra | Nie |
| PHP na serveri | Poskytovateľ hostingu alebo správca servera | Áno, spolu s reštartom všetkých procesov PHP |

## Zraniteľnosť PHP vo WordPresse: skontrolovať verziu PHP

V dashboarde nájdete pod **Nástroje > Stav webu > Informácie** v časti „Server“ verziu PHP, s ktorou váš web skutočne beží. To je výstižnejšie než `php -v` v príkazovom riadku, pretože príkazový riadok často používa inú inštaláciu PHP než webový server.

Zobrazené číslo samo osebe však nestačí. Opravené upstream verzie sú 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Mnohí poskytovatelia hostingu však opravy nasadzujú ako backport; potom tam zostane staršie číslo, hoci je záplatované. Ako zistiť skutočný stav, nájdete na stránke [Správne skontrolovať verziu PHP a stav záplat](https://phpsos.de/sk/php2shell/php-version-pruefen/). Ktoré verzie PHP vaša verzia WordPressu podporuje, skontrolujte podľa systémových požiadaviek na wordpress.org.

## Kde sa škodlivý kód vo WordPresse rád ukrýva

Po úspešnom útoku útočníci spravidla zanechajú zadné vrátka, aby sa mohli vrátiť aj po záplate. WordPress na to má známe miesta:

- **wp-content/uploads/**: určené pre obrázky a PDF, nie pre súbory PHP.
- **wp-content/mu-plugins/**: pluginy „Must-use“ sa načítavajú automaticky a v dashboarde sa nedajú deaktivovať.
- **wp-config.php**: obsahuje prístup k databáze a bezpečnostné kľúče; vložený riadok tu sotva upúta.
- **.htaccess** v hlavnom adresári a v podadresároch: presmerovania iba pre vyhľadávače alebo spúšťanie nezvyčajných prípon súborov.
- **Témy**, predovšetkým `functions.php`, ako aj deaktivované a zabudnuté pluginy.
- **Databáza**: noví administrátori v `wp_users`, cudzí JavaScript v `wp_options` alebo v príspevkoch.

Neškodné prvé kontroly pomocou WP-CLI a štandardných nástrojov:

```bash
# Súbory jadra porovnať s oficiálnymi kontrolnými súčtami
wp core verify-checksums
# Pluginy z adresára na wordpress.org skontrolovať
wp plugin verify-checksums --all
# Vypísať súbory PHP v priečinku uploads
find wp-content/uploads -type f -name "*.php"
# Zobraziť všetkých administrátorov
wp user list --role=administrator
```

Nález je dôvodom na dôkladné preskúmanie, ešte nie dôkazom. Komerčné pluginy sa takto skontrolovať nedajú. Podrobnejšie pokračuje príručka [Nájsť backdoory vo WordPresse](https://phpsos.de/sk/ratgeber/backdoor-wordpress-finden/).

> **Dôležité:**
> Podozrivé súbory nemažte unáhlene. Najprv zálohujte súbory, databázu a logy servera od 20. 10. 2026. Bez týchto stôp sa neskôr nedá objasniť, či unikli údaje.

## Pluginy, témy a administrátorské prístupy ako dodatočné riziko

PHP2Shell nepotrebuje zraniteľnosť v pluginoch. V bežnej prevádzke však pluginy a témy zostávajú najčastejším vstupom do webov na WordPresse. Každý plugin prináša vlastný kód, vlastné funkcie nahrávania a vlastné cykly aktualizácií. Nepoužívané pluginy by ste mali zmazať, nie iba deaktivovať, pretože deaktivované súbory na serveri zostávajú.

Pre `wp-login.php` a `wp-admin` platí: málo administrátorov, osobné účty namiesto zdieľaných prístupov a dvojfaktorové prihlásenie. Ak XML-RPC nepotrebujete, dá sa zablokovať. Pri podozrení by sa mali obnoviť všetky heslá a bezpečnostné kľúče v `wp-config.php`. Editor súborov v dashboarde vypnete tamtiež:

```php
define( 'DISALLOW_FILE_EDIT', true );
```

## Čo by ste mali ako prevádzkovateľ WordPressu urobiť teraz

1. Nechať si u poskytovateľa hostingu písomne potvrdiť stav záplat PHP a reštart všetkých procesov PHP.
2. Nechať uchovať logy servera od 20. 10. 2026.
3. Vykonať vyššie uvedené kontroly alebo ich nechať vykonať.
4. Aktualizovať WordPress, pluginy a témy. Je to správne, ale nie je to náhrada kroku 1.
5. Pri nezrovnalostiach web jednoducho neprevádzkovať ďalej, ale nechať ho vyčistiť.

Aktualizácia platformy môže uzavrieť známe zraniteľnosti vo WordPresse a pluginoch. PHP však neopraví a neodstráni ani zavlečené súbory, ktoré nepatria k jadru.

## Ako konkrétne pomáha PHP SOS?

- S vami alebo s vaším poskytovateľom hostingu objasníme skutočný stav PHP vášho webu na WordPresse vrátane backportov a reštartu.
- Zálohujeme logy, súbory a databázu skôr, než sa niečo zmení.
- Kontrolujeme jadro, pluginy, uploady, mu-plugins, `.htaccess` a používateľské účty na zadné vrátka.
- Pri nálezoch prevezme čistenie naše [odstraňovanie malvéru](https://phpsos.de/sk/leistungen/malware-entfernung/) až do ukončenia a zdokumentovania incidentu; ak sa nič nenájde, inštaláciu spevníme v rámci [okamžitej pomoci pri PHP2Shell](https://phpsos.de/sk/leistungen/php2shell-soforthilfe/).


## Časté otázky

**Musím kvôli PHP2Shell aktualizovať WordPress?**  
Aktuálny WordPress je vždy užitočný, PHP2Shell však neuzatvorí. Zraniteľnosť je v interpreteri PHP na serveri. Potrebná je aktualizácia PHP alebo potvrdený backport od vášho poskytovateľa hostingu a reštart všetkých procesov PHP.

**Chráni bezpečnostný plugin pred PHP2Shell?**  
Len veľmi obmedzene. Plugin sám beží ako kód PHP vo vnútri WordPressu. Pri mod_php bol predvedený exploit ešte predtým, než sa vôbec spustí kód aplikácie; plugin si taký útok možno vôbec nevšimne.

**Prečo WordPress zobrazuje starú verziu PHP, hoci poskytovateľ hostingu už záplatoval?**  
Mnohí poskytovatelia hostingu a linuxové distribúcie nasadzujú opravy ako backport do existujúcej verzie. Číslo verzie potom zostane rovnaké. Nechajte si stav záplat potvrdiť poskytovateľom písomne.

**Smie byť v adresári wp-content/uploads súbor PHP?**  
Normálne nie. Priečinok uploads je určený pre médiá. Súbor PHP tam je jasným varovným znakom a pred zmazaním by sa mal zálohovať a odborne preskúmať.

## Zdroje

- [php.net: bezpečnostné hlásenia](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [WordPress.org](https://wordpress.org/)
- [BSI (nemecký Spolkový úrad pre informačnú bezpečnosť)](https://www.bsi.bund.de/)