Podle týdenních zpráv Wordfence Intelligence bylo za prvních 40 týdnů roku 2026 zaznamenáno celkem 9 184 nových zranitelností, tedy přibližně 230 týdně. Jejich počet navíc stále roste: zatímco od ledna do června činil průměr 179 zranitelností týdně, od července už to bylo 324. V posledních dvou týdnech, které jsme kontrolovali, jich bylo dokonce 512 a 655. Většina zranitelností se týká pluginů, i když v některých týdnech tvoří významný podíl také šablony.

Jiná zpráva uvádí za celý rok 2025 přibližně 11 000 zranitelností. Používá však vlastní metodiku, takže tato čísla nejsou přímo srovnatelná. Protože se většina problémů týká pluginů, doporučujeme všechny pluginy pravidelně aktualizovat a ty, které nepoužíváte, odstranit. API a konzolový skener Wordfence jsou zdarma i pro komerční použití a dokážou automaticky porovnávat pluginy na webu s databází známých zranitelností. To je výrazně praktičtější než kontrolovat nové záznamy ručně.

PHP 8.1 nedostává bezpečnostní opravy od 31. prosince 2025 a PHP2Shell ukázal, co to znamená v praxi. Pro PHP 8.1 a starší projekt PHP nevydal žádnou aktualizaci, pouze minimální záplaty pro vlastní sestavení. Majitelé webů tak musejí buď požádat svého poskytovatele hostingu o opravu, nebo přejít na podporovanou verzi PHP.

Další termín se rychle blíží. Oznámení verze 8.2.35 uvádí, že PHP 8.2 přestane dostávat bezpečnostní opravy 31. prosince 2026. Podle php.net je PHP 8.3 podporováno do konce roku 2027, 8.4 do konce roku 2028 a 8.5 do konce roku 2029.

WordPress 7.x přitom lze stále provozovat i na PHP 7.4, takže web může technicky fungovat ještě roky na verzi PHP, která už žádné bezpečnostní opravy nedostává. Proto je důležité držet PHP na aktuálně podporované verzi a upgrade provést ještě před koncem podpory té stávající.

Od 18. října se na weby připojené k UpdraftCentral instalují pluginy se zadními vrátky a příčinou není chyba v UpdraftPlus. Útočník měl platné přístupové klíče a TeamUpdraft se domnívá, že získal přístup k zákaznické databázi, ve které se tyto klíče ukládaly.

UpdraftPlus 1.26.12 zneplatnil klíče vytvořené před incidentem a verze 1.26.13 opravila způsob, jakým se toto zneplatnění aplikovalo. Potřebujete tedy verzi 1.26.13 nebo novější. Aktualizace byla distribuována automaticky, ale již nainstalovaná zadní vrátka neodstraní.

Jeden rozbor doporučuje hledat pluginy s popisem „Small maintenance toolkit: keeps option storage tidy“ a uživatelské účty s rolí Editor, kterým byla dodatečně přidělena oprávnění manage_options a install_plugins. Takový účet se přitom v běžném seznamu administrátorů nemusí zobrazit.

PHP vydalo 21. října verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Opravují CVE-2026-109618 a CVE-2026-109619 (obě 9,2 podle CVSS 4.0), které umožňují spustit kód na serveru bez přihlášení. Chyba je přímo v PHP, takže je ohrožený téměř každý web na WordPressu bez ohledu na jeho verzi. Firma Wiz předvedla funkční útoky na aktuální instalace WordPressu, Drupalu a Joomly a Patchstack zaznamenal hlášení o zneužití několik hodin před vydáním oprav.

Řešením je aktualizace PHP a WordPress.org uvádí, že aktualizace jádra není nutná. Na spravovaném hostingu aktualizaci obvykle provede poskytovatel hostingu, na VPS je to na vás. Pro PHP 8.1 a starší nevyšla žádná verze. Vývojáři PHP jako dočasné opatření doporučují nastavit session.upload_progress.enabled=0, ale jediným bezpečným řešením nazývá aktualizaci.

Hra Neala Agarwala „I’m Not a Robot“ sestává ze 48 CAPTCH, které je třeba vyřešit v řadě, a na konci získáte certifikát potvrzující, že jste člověk. Model GPT-6 Astra hru dohrál od začátku do konce a certifikát získal. Každá úroveň představuje nové rozhraní s pravidly, která nikdo nevysvětluje, a model přišel na to, co každá z nich vyžaduje, a klikal. CAPTCHA fungovala pouze proto, že stroje to nedokázaly.

Udržujeme je už nějakou dobu jen ze zvyku. Pokud je zaškrtávací políčko jedinou překážkou mezi vaším registračním formulářem a tisíci falešných účtů, měli byste pravděpodobně předpokládat, že je pouze dekorativní.