Proč polovina vývojářů pluginů pro WordPress ignoruje bezpečnostní chyby
Víte, co nás na naší práci opravdu děsí? Nejsou to složité technické výzvy, nejsou to nároční klienti a nejsou to ani krátké termíny. Děsí nás, že každý týden se v pluginech pro WordPress objeví asi 300–400 nových zranitelností. Jen minulý týden jich bylo 467. To není překlep, čtyři sta šedesát sedm bezpečnostních děr za sedm dní.
Ale teď to začíná být opravdu zajímavé. Společnost Patchstack nedávno zveřejnila svou zprávu za rok 2025 a je v ní jedno číslo, které nám vyrazilo dech: 52 % vývojářů pluginů, kteří byli na zranitelnost upozorněni, ji prostě neopravilo před jejím zveřejněním. Takže jim řeknou: „Máte bezpečnostní díru,“ a oni na to: „Dobře, možná později.“ A víte co? To „později“ často nikdy nepřijde.
Představte si tuto situaci: nainstalujete si na svůj web nějaký populární plugin pro formuláře nebo zálohování. Vše funguje skvěle a pohodlně. O šest měsíců později v něm bezpečnostní výzkumníci objeví kritickou zranitelnost. Napíší vývojáři. Ten si to přečte, povzdechne si a… nic neudělá. Protože plugin je zdarma, nevynáší žádné peníze a oprava chyb vyžaduje čas a úsilí. 71 % zveřejněných zranitelností zůstává v době zveřejnění neopravených. Útočníci tak získají hotový návod „jak se nabourat“, zatímco váš web zůstává s otevřenými dveřmi.
Zde je nedávný případ z naší praxe. Klient se na nás obrátil s e-commerce projektem – vše běželo hladce, tržby šly dobře, žádné problémy. Až jednoho dne vyšlo najevo, že web byl zneužíván k rozesílání spamu. Ukázalo se, že jeden ze zálohovacích pluginů měl známou zranitelnost, která umožňovala nahrávání libovolných souborů bez autorizace. Takové zranitelnosti často vedou ke vzdálenému spuštění kódu. Vývojář o tom věděl již tři měsíce, ale nikdy nevydal aktualizaci – plugin byl opuštěn.
Co tedy dělat?
Za prvé, přestaňte instalovat pluginy naslepo. V naší agentuře nyní před instalací pro klienty každý plugin prověřujeme: kdy proběhla poslední aktualizace, kdo je vývojář, má za sebou historii zodpovědných bezpečnostních postupů. Zní to nudně, ale opravdu to funguje.
Za druhé, automatické aktualizace pluginů má zapnuté pouze 30 % uživatelů. To je katastrofální. Ano, aktualizace někdy mohou něco pokazit, ale víte, co to určitě pokazí? Když vám někdo hackne web. Pro naše klienty nastavujeme automatické aktualizace, alespoň pro bezpečnostní záplaty, a sledujeme, zda se nic neporouchá.
Za třetí, používejte ochranu na úrovni serveru. Když vývojář nechce opravit chybu (nebo ji opravuje příliš pomalu), na pomoc přicházejí WAF a další bezpečnostní nastavení na straně serveru.
A nakonec – buďte nemilosrdní k opuštěným pluginům. Pokud byla poslední aktualizace před rokem a plugin má známé zranitelnosti – smažte ho bez lítosti. Hledejte alternativy. Ano, je to nepohodlné, ano, budete muset znovu nakonfigurovat funkčnost, ale stále je to levnější a snazší než následná obnova napadeného webu a vaší reputace.
Závěr
Pluginy představují 96–97 % všech zranitelností WordPressu. Polovina vývojářů se s jejich opravami příliš nespěchá. Každý týden se objevují stovky nových bezpečnostních děr. Nejde o šíření paniky – taková je realita roku 2026.
V naší agentuře nyní k bezpečnosti nepřistupujeme jako k volitelné záležitosti typu „nainstalujme si ještě Wordfence“, ale jako k povinné součásti každého projektu. Audity pluginů před instalací, monitorování zranitelností, pravidelné aktualizace – to vše je základní standard, nikoli prémiová služba.
Protože až v pondělí ráno uvidíte ve své schránce zprávu „Váš web byl napaden“, bude už příliš pozdě zjišťovat, kdo za to může. Je jednodušší této situaci úplně předejít.
