Naše webové stránky obsahují odkazy na partnerské weby. Pokud se prokliknete z našich stránek na stránky partnera a tam si zakoupíte jeho služby, obdržíme za zprostředkování provizi (Zjistit více informací). Tato forma spolupráce nijak neovlivňuje objektivnost našich recenzí. Každým nákupem přes proklik z našich stránek podpoříte naši redakci, abychom i do budoucna mohli tvořit kvalitní a užitečný obsah. Děkujeme.
WoodMart 8.6.5: bezpečnostní aktualizace šablony a kritické chyby v PHP, které se už zneužívají
Obsah
Tvůrci šablony WoodMart vydali 22. října 2026 verzi 8.6.5, která opravuje několik bezpečnostních chyb. Zároveň vyzývají všechny majitele e-shopů, aby nechali aktualizovat PHP na serveru — den předtím totiž vyšla mimořádná bezpečnostní vydání PHP kvůli dvěma kritickým chybám, které se podle WoodMartu už aktivně zneužívají. Pokud na WoodMartu provozujete e-shop, máte dnes dva úkoly: aktualizovat šablonu a ověřit verzi PHP.
WoodMart je jedna z nejprodávanějších WooCommerce šablon na ThemeForestu a v Česku na ní běží řada menších i středních e-shopů s nábytkem, módou nebo elektronikou. Oznámení na blogu podepsal spoluzakladatel Serg Sokhatskyi a kromě samotné aktualizace obsahuje i poměrně podrobný kontrolní seznam, jak ověřit, že e-shop není kompromitovaný. Níže ho shrnujeme v pořadí, které dává smysl pro běžného majitele webu.
Co přesně WoodMart opravil
O chybách v šabloně toho víme záměrně málo. Tým je podle oznámení našel sám při interní kontrole kódu, nikde je nezveřejnil a nemá žádné náznaky, že by o nich věděl někdo další. Opravy jsou ve verzi 8.6.5. Oznámení neuvádí typ chyb, zasažené části šablony, číslo CVE ani hodnocení závažnosti — mluví jen o tom, že ohrožené jsou obchody na „starších verzích“.
To je u čerstvě opravených chyb běžný postup: podrobnosti se zveřejňují až s odstupem, aby útočníci nedostali návod dřív, než si weby stihnou nainstalovat záplatu. Pro vás z toho plyne jednoduché pravidlo — za bezpečnou považujte jen verzi 8.6.5 a novější, ne „dostatečně novou“ starší verzi.
Jednu věc WoodMart v oznámení zmiňuje navíc: na svých webech, včetně podpůrného fóra, resetoval hesla uživatelů. Pokud máte účet na fóru xtemos.com, nové heslo si nastavíte přes odkaz „Lost your password?“. Důvod resetu oznámení blíže nerozvádí.
Druhá a vážnější část: kritické chyby v PHP
Projekt PHP vydal 21. října 2026 mimořádné aktualizace všech podporovaných větví. Opravují dvě zranitelnosti, které se netýkají jen WoodMartu, ale prakticky každého webu na PHP — tedy i každého WordPressu:
| Zranitelnost | Co umožňuje | Hodnocení |
|---|---|---|
| CVE-2026-109618 | Vzdálené spuštění kódu přes poškození paměti při chybě „out of memory“ — PHP se přeruší ve chvíli, kdy jsou data požadavku inicializovaná jen zčásti | CVSS 4.0: 9,2 |
| CVE-2026-109619 | Vzdálené spuštění kódu přes zastaralý globální stav — data jednoho požadavku přežijí uvolnění paměti a další požadavek na stejném workeru je použije | CVSS 4.0: 9,2 |
Obě chyby jdou zneužít bez přihlášení a podle WoodMartu na ně už probíhají útoky. Opravené verze jsou:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35 (větev 8.2 končí podporu 31. 12. 2026)
Pozor na starší verze: PHP 8.1 a starší už oficiální opravy nedostávají. Tým PHP sice pro 7.4, 8.0 a 8.1 připravil zpětně portované záplaty, ale ty si musí nasadit hosting sám. Pokud váš e-shop pořád běží na PHP 7.4 nebo 8.0, je to dobrá chvíle konečně přejít na novější verzi — WoodMart i aktuální WooCommerce s ní počítají.
Jak zjistit verzi WoodMartu a PHP
- Verze šablony: v administraci otevřete Vzhled → Šablony a klikněte na WoodMart. Pokud používáte child theme, rozhoduje verze nadřazené šablony WoodMart, ne child theme.
- Verze PHP: Nástroje → Stav webu → Informace → Server. Hledejte řádek „Verze PHP“.
- Porovnejte s tabulkou výše. Na sdíleném hostingu často jen vidíte „8.3″, ale ne celé číslo — pak se zeptejte podpory hostingu přímo, jestli už nasadili 8.3.36 (resp. odpovídající verzi).
Aktualizaci PHP na sdíleném hostingu obvykle nemůžete udělat sami — konkrétní opravené vydání musí nasadit poskytovatel. Většina velkých hostingů záplaty nasazuje plošně během pár dní, ale stojí za to se ujistit. Pokud máte vlastní VPS, aktualizujte balíčky PHP a restartujte PHP-FPM, jinak poběží stará verze dál.
Když PHP nejde aktualizovat hned
Bezpečnostní oznámení PHP uvádí částečná opatření pro případ, že aktualizace musí počkat. Patří k nim nastavení v php.ini (nebo v konfiguraci FPM poolu tak, aby je aplikace nemohla přepsat):
memory_limit = -1
post_max_size = 8M ; 32M, pokud web potřebuje nahrávání souborů
session.upload_progress.enabled = 0
fatal_error_backtraces = 0 ; jen PHP 8.5Po změně je potřeba restartovat všechny PHP workery. Samo oznámení ale zdůrazňuje, že tato opatření jen snižují riziko, nedělají instalaci bezpečnou — jedinou úplnou opravou je aktualizace. Nastavení memory_limit = -1 navíc ruší limit paměti, takže ho na sdíleném serveru bez domluvy s hostingem nepoužívejte.
Kontrolní seznam podle WoodMartu
WoodMart upozorňuje, že útočníci po zveřejnění zranitelnosti skenují internet a hledají neaktualizované weby, často během několika hodin. Proto k aktualizaci přidává seznam kontrol. Rozdělili jsme ho do tří kroků.
1. Aktualizace a ověření souborů
- Aktualizujte WoodMart na 8.6.5 nebo novější, WordPress a všechny pluginy.
- Šablonu stahujte jen z ThemeForestu nebo přes vestavěný updater — nikdy z „nulled“ webů ani z příloh e-mailů.
- Ověřte integritu souborů: v administraci přes volbu Reinstall version, nebo přes WP-CLI příkazy
wp core verify-checksumsawp plugin verify-checksums --all.
2. Hledání stop po průniku
- Uživatelé: neznámí administrátoři a neznámá Application Passwords u existujících účtů.
- Databáze: podezřelé triggery (
SHOW TRIGGERS;), nastavení v tabulce options a vložený obsah. - Soubory: složka
wp-content/mu-plugins, složkauploads(nemá v ní být žádný PHP soubor) a soubor.htaccess. - Server: požádejte hosting o antivirový sken; na vlastním serveru můžete použít ClamAV nebo Linux Malware Detect. Zkontrolujte i cron úlohy, systémové uživatele a SSH klíče.
3. Zpevnění webu
- Změňte hesla administrátorů, databáze, hostingu, FTP/SFTP a SSH a vygenerujte nové salts ve
wp-config.php(tím se odhlásí všechny přihlášené relace). - Nainstalujte bezpečnostní plugin — WoodMart doporučuje Wordfence — a zapněte dvoufázové ověření pro administrátory a správce obchodu.
- Pokud vaše napojení (účetnictví, sklad, feedy) používají Application Passwords, zkontrolujte v Wordfence → Login Security → Settings, že je dvoufázové ověření neblokuje.
- Do
wp-config.phppřidejtedefine( 'DISALLOW_FILE_EDIT', true );, čímž vypnete editor souborů šablon a pluginů v administraci.
Srovnání bezpečnostních pluginů včetně Wordfence najdete v našem článku Bezpečnostní pluginy pro WordPress.
Pozor na podvodné e-maily
Bezpečnostní incidenty spolehlivě přitahují phishing. WoodMart proto připomíná, že nikdy nežádá e-mailem o hesla, nákupní kód (purchase code) ani přístup do administrace a nikdy neposílá soubory šablony jako přílohu. Pokud vám přijde „naléhavá aktualizace WoodMartu“ v ZIP příloze nebo žádost o přihlašovací údaje kvůli „ověření licence“, je to podvod. Aktualizaci řešte výhradně v administraci webu nebo přes svůj účet na ThemeForestu.
Co z toho plyne pro správu e-shopu
Tahle aktualizace dobře ukazuje, že bezpečnost WordPressu není jen o pluginech. Zranitelnost může být v šabloně, v pluginu, v jádru — a jak ukázala nedávná kritická chyba ve WordPressu 7.1.2 — i ve verzi PHP, kterou ovlivňuje hlavně hosting. U e-shopu, kde jde o objednávky a osobní údaje zákazníků, se proto vyplatí mít hosting, který bezpečnostní vydání PHP nasazuje rychle a o změnách informuje. Pokud o výběru zrovna uvažujete, pomůže přehled WordPress hostingů.
Shrnutí
WoodMart 8.6.5 opravuje bezpečnostní chyby, které tým našel interně a o jejichž zneužití neví. Naléhavější jsou dvě kritické chyby v PHP (CVE-2026-109618 a CVE-2026-109619, obě 9,2), zneužitelné bez přihlášení a podle WoodMartu už napadané. Co udělat dnes: aktualizovat WoodMart, WordPress a pluginy, ověřit verzi PHP (8.5.12, 8.4.27, 8.3.36 nebo 8.2.35) a v případě pochybností projít kontrolní seznam a změnit hesla.
