Zdravím WordPressáci a WordPressačky,
v létě jsem si postavil něco jako “webový švýcarský nožík”, který mám na každém webu ve správě. Vznikl na neudržitelných sólo plugincích, které jsem měl izolovaně pro každý web. S rostoucím počtem webů se přidávání nových funkcí, nebo aktualizace stávajících, stávaly noční můrou. Co švýcarák umí:
- Hlídat své vlastní aktualizace, které mu posílím z centrálního úložiště a provádět je.
- Přidávat nové funkcionality, aniž bych je musel přidávat ručně.
- Testovat odesílání e-mailů z vašich WordPressů (o tom asi příště).
Plugin na pár řádcích kódu nahrazuje řadu pluginů. Například:
- Nastavení odesílání e-mailů přes SMTP (→ náhrada například pluginu WP SMTP).
- Přidávat tvrdé mezery k jednoslovným spojkám a předložkám. Doteď jsem na to na vybraných webech používal plugin od Jardy Pajzra, ale pro Oxygen builder, ve kterém dělám weby, to nefungovalo dobře.
- Duplikování stránek, příspěvků a vlastních tipů příspěvků (→ Duplicate Page)
- Blokovat přístup na web a zobrazit “stránka je v údržbě” (→ náhrada za Coming Soon Page).
Další funkcionality budou podle potřeby přibývat průběžně.
Kdyby u tohohle léto skončilo, bylo by to super. Ale letošní léto přineslo šňůru chyb napříč softwarem. WP nevyjímaje. Proto kapitolu Zranitelnosti dnes přesouvám na konec. Asi ne každýho bude zajímat. Zároveň mi přijde důležitý vědět, co se kolem WP děje, když na něm máš web, že jo.
A jako vždy: kdo má správu webu u mně, nemusel se v létě o nic starat.
A tapas k WordPressitu
Dnes netradičně na začátku.
📨 Vybrali si mě v MailerLite komunitě, abych jim udělal Pecha Kuchu. Že nevíš, co to je? Taky jsem na to koukal jak stonožka na ceny bot (tady vykrádám ze své povídkové sbírky Za hranou ticha). Pecha kucha je prezentace, kde se představíš ve 20 snímcích, na každý máš 20 vteřin. Jinými slovy: průřez životem v 6 minutách a 40 vteřinách. Často si řečníci Pecha Kuchu připravují jako video, které komentují. To pomáhá dodržet stanovený čas. Po callu jsem nechal zaplou kameru a Pecha Kuchu namluvil i pro tebe. Doporučuju!
🌐 Vyšel WP 7.1. Klid, už žádný záplaty (těch je dole v kapitole Zranitelnosti dost). V nové verzi mě potěšilo nenačítání zbytečného CSS pro bloky, které nejsou použité. Např.: CSS pro Cover blok se vygeneruje jen když stránka Cover blok obsahuje → méně balastu = rychlejší zobrazení webu.
🛒📨 Klientka po mně chtěla propojit e-mailový nástroj MailerLite s e-shopovým řešením SimpleShop. Úkol přesně pro n8n! Teď se jí po zakoupení produktu automaticky spouští e-mailová automatizace v MailerLite. Celé řešení jsem popsal ve článku.
🔌 MarkdownPress je plugin od Jitky Kelingerové, v komunitě známé webařky. Plugin automaticky překlápí stránky a příspěvky do markdown (strojově i lidsky jednoduše čitelný text se základním formátováním) a ukládá je na server. Tím jsou webovky čitelnější pro vyhledávače jazykových modelů → lepší srozumitelnost může vést k větší citovatelnosti u chatbotů. Kromě toho umí plugin boty odklonit od “plnotučného” webu a servírovat jim informace v markdownu → boti mnohem méně zatěžují server, na kterém je web hostován. Vidím v tom ještě jednu výhodu - když chci předat chatbotu kontext jedné nebo více stránek mého webu, rovnou ho na tyhle soubory odkážu.
🪧 „Co děláš kolem změny domény za vědu? Stačí koupit novou doménu a nasměrovat ji na hosting, ne?" slyším otázky. Jasně, teoreticky stačí. Reálně je to první krok z “dvaceti”. Nedávno jsem tím prošel. Přejmenoval jsem Bejkův mls na sebe (Tomáš Shejbal) a checklist prací, na které bych neměl zapomenout, mi narostl do rozsahu, ze kterého praská hlava. Tenhle článek je ten checklist.
🖼️ Jak v Canvě vytvořit vlastní tvar rámečku z libovolné grafiky? Aneb video návod ve 3 minutách.
🖱️ Tlačítková novela: Minule jsem tipoval účinnost novely od srpna/září 2026. Špatně. Účinnost je od 1. 1. 2027. Takže se zase můžeme všichni hodit do klidu a začít blbnout v prosinci. 😅 Btw, celá novela je tady.
🔍 Google spustil Preferred Sources - uživatelé si teď můžou "hvězdičkovat" oblíbené weby. Ty by se jim měly víc zobrazovat v AI Overviews a vyhledávání. Jak to může vypadat na webu můžeš zkouknout u mně na blogu (dole). Nastavil jsem na tlačítko v Matomo (analytický nástroj, který neodesílá data mimo web) událost a za měsíc vyhodnotím přínos.
🤖 Hraju si s Hermes agentem (open-source AI agent, který běží nepřetržitě na mém vlastním serveru, pamatuje si kontext napříč sezeními a učí se ze zkušeností), který jsem si napojil na Signal. Zatím ho používám jako lepší RSS čtečku tam, kde weby právě RSS nemají. Kdo nezná RSS: umožňuje webům publikovat automaticky aktualizovaný seznam svého obsahu (třeba nové články - WP dělá automaticky), aby si ho lidé mohli sledovat v čtečce bez nutnosti web pravidelně navštěvovat - WP ho má, na stejném základě fungují podcasty. RSS pro můj blog vypadá takhle. Používáš Hermes? K čemu? Poděl se, třeba to příště zveřejním! 🙂
📉 Seth Godin sepsal (s pomocí Gemini 😅) přehledné shrnutí, jak Google za posledních deset let systematicky ubíjí návštěvnost blogů. Seth nezávislým tvůrcům radí, aby se na návštěvnost dívali jako na bonus. Nabádá nás, abychom tvořili vztah s odběrateli a psali věci, které budou čtenáři chtít sdílet nebo o nich mluvit. Jedním ze vztahových kanálů je i obsahový(!) newsletter. Pokud je víc letter než news, jak říká Martin Kavka (jeho newslettery.cz doporučuju!). A RSS! Třeba s Hermes jako kurátorem.
Zranitelnosti
V pluginech
Tentokrát jsou v seznamu i známá jména. Vyšší číslo závažnější zranitelnost. Uvádím jen hojně používané pluginy s vyšším rizikem. Jinak by byl tentokrát výčet “nekonečný”.
- Complianz - 6.6/10.0
- Elementor Pro - 9.8/10
- TranslatePress - 7.2/10
- All-in-One WP Migration and Backup - 6.4/10
- Gravity Forms - 7.2/10
Tentokrát jsou zranitelnosti přímo v jádře WordPressu. Po deseti letech od poslední. A ne jedna.
WordPress 7.0.2
WordPress 7.0.2 opravil tzn. wp2shell zranitelnost. wp2shell je přezdívka pro řetězec dvou WordPress zranitelností ze 17. 7. 2026 označených jako: CVE-2026-60137 a CVE-2026-63030.
Pro útok jsou potřeba obě díry, fungují v návaznosti na sebe:
- První chyba udělá v hlavních dveřích webu díru, kterou se dá nakouknout dovnitř bez hesla.
- Druhá chyba skrz díru dokáže vytvořit admin (!) účet.
Postižené byly verze WordPressu:
- 6.9.0-6.9.4
- 7.0.0-7.0.1
Opravy děr přišly ve verzích WP 6.9.5 a 7.0.2 vydaných 17. 7. 2026.
Wordfence zaznamenal první pokus o prolomení v 23:42. Jeden takový web jsem čistil, tam k průlomu došlo 3 dny po vydání aktualizace. Jak čištění probíhá jsem sepsal v případovce: Skrytý admin ve WordPressu: jak se hledá neviditelný útočník.
Tady je počteníčko, jak na chybu vývojář přišel (použil Geminy, v článku sdílí i prompt). Jak sám píše:
Když jsem se vrátil, uviděl jsem ve výstupu, že agent objevil SQL injection (moje poznámka: SQLi - je typ bezpečnostní zranitelnosti, kdy útočník dokáže do SQL dotazu - databázového dotazu - aplikace vsunout vlastní kód a přimět databázi, aby provedla něco jiného, než autor zamýšlel) bez nutnosti autentizace. Zprvu jsem tomu úplně nevěřil, protože WordPress patří k nejvíce zabezpečeným cílům vůbec a v tomto desetiletí neměl žádnou vážnější zranitelnost. Ale jak jsem začínal chápat, co agent udělal, došlo mi, že skutečně objevil plnohodnotnou SQLi bez autentizace. Pořád jsem tomu úplně nevěřil, tak jsem na vzdáleném serveru nainstaloval standardní instanci WordPressu a požádal agenta, aby ukradl e-mail administrátora. Během pár minut vypsal e-mail, který jsem použil při zakládání instance. (…)
(…) V tu chvíli mi došlo, že mám v ruce díru v defaultní konfiguraci jednoho z nejrozšířenějších softwarů na světě. Odhady se liší, ale většina se shoduje na tom, že po celém světě běží přes 500 milionů instancí WordPressu.
Těch 500 miliónů instalací je právě důkazem zabezpečení celého WP - na všechny ty weby denně probíhají útoky. Proto tahle chyba otřásla komunitou.
WP 7.0.3
Zranitelnost spočívá v upraveném odkazu pro přihlášení ve WP. Ten musí útočník doručit někomu s WP účtem. Po rozkliknutí odkazu se schová v prohlížeči kód, který čeká na přihlašování do WP. V okamžiku přihlášení si dokáže zkopírovat cookies webu, které drží přihlášení a odešle je útočníkovi. Ten tak má stejná práva, jako přihlášený účet.
Chyba je to pořád kritická, ale nejede ve strojovém čase - vyžaduje interakci s uživatelem.
WordPress 7.0.4
WP účet s oprávněním Redaktor má dost omezená práva. S touhle chybou ale může Redaktor vše. Víc než admin. Aktualizace vyšla 12. 8. 2026 a chybka v ní potřebuje čekat na správnou "konstelaci hvězd", přesto je závažná. Pro napadení je potřeba:
- Účet s rolí Redaktor a vyšší.
- Hosting s nainstalovaným Imagick + Ghostscript (kvůli PDF náhledům).
WordPress kontroloval při nahrávání obrázků jen příponu, ne obsah - a tudy se dal protlačit libovolný škodlivý kód.
Chybu může u WP 7.0.3 a starších využít přihlášený uživatel ve WP s právy Redaktor a vyšší. Takže hacknutý účet s nízkými právy nebo zhrzený zaměstnanec s přístupem do WP.
Útočník si napíše kód (Post Script), co se má na serveru stát, soubor s kódem přejmenuje na png nebo jpeg a nahraje mezi fotky. Tím se spustí cokoliv na serveru (takže i mimo WordPress samotný).
Shrnutí chyb ve WP
Co z toho vyplývá? WP je zase o kus bezpečnější. Ale jen v případě, že si aktualizoval/a.
Pokud ne, dovolím si tvrdit, že máš web hacknutej. Není to chyba WP, tohle se teď děje napříč softwarem, jak probíhají AI audity kódů napsaných za poslední desetiletí.
A s každou aktualizací přichází seznam změn. Jinými slovy: seznam zranitelností, kteří útočníci zahrnují do svých pokusů o hacknutí čehokoliv, co jim něco přinese. A hacklé weby jsou vítané vždy. Jsou to pěšáci pro větší útoky (typicky shazování dalších serverů, které si zrovna označí za “cíl”).
Máš hacklý web? Nebo ho chceš "jen" vyšetřit? Ozvi se, dám tvému webu odčervovací tabletu. A je možný, že to bude stát míň, než návštěva veterináře. 😄
Znáš někoho, komu letošní léto hackli web? Propoj nás, tyhle detektivky žeru.
Máš otázku k webu?
Pokud chceš na webu něco změnit, stačí odpovědět na tenhle e-mail.
Chceš web spravovat?
Podívej se na moje balíčky: zobrazit balíčky správy.
Přemýšlíte o novém webu/funkcích?
Plánuješ nový web nebo zlepšení stávajícího? Rád pomůžu. Odpověz na tenhle e-mail nebo si rezervuj krátkou nezávaznou konzultaci.
👉 Chci rezervovat termín konzultace
Ať ti web sviští a přivádí nové příležitosti!
Až budeš potřebovat něco upravit, jsem tady pro tebe! 😉
Tomáš
Tomáš Shejbal
od hrubé síly k jemnému ladění
Benešovo náměstí 2471
53002 Pardubice
E-mail vám přišel, protože jsme spolu řešili něco kolem webu/e-mailingu nebo jste se přihlásil/a k odběru na webu tomas-shejbal.cz (dříve bejkuvmls.cz).
Zákon říká, že tenhle e-mail je obchodní sdělení. Tak sděluji. Pro odhlášení: