WordPress a jeho 11 tisíc zranitelností ročně

WordPress pohání 43 % všech webů na internetu. To z něj dělá nejpoužívanější redakční systém na planetě. Zároveň ale největší cíl pro útočníky.

V roce 2025 bylo v ekosystému WordPressu odhaleno 11 334 nových zranitelností. Meziročně to byl nárůst o 42 %. Drtivá většina problémů (91 %) se týkala pluginů. V samotném jádře WP jich bylo jen 6.

Skoro polovina těchto děr byla zneužitelná bez jakékoli autentizace. A 46 % z nich nemělo v době odhalení žádnou záplatu. Klasické bezpečnostní řešení jako WAF zachytí jen asi 12 % útoků specifických pro WordPress.

Zní to dramaticky. Ale realita je trochu jiná. Většina napadených webů trpí tím, že se o ně nikdo roky nestaral. Plugin bez aktualizace tři roky? Žádný bezpečnostní audit? Pak se není čemu divit. Když se o WordPress pravidelně staráte, zálohy fungují a aktualizace běží, je to pořád spolehlivý systém. V Softmedia se pravidelně setkáváme s napadenými weby, které přebíráme, dáváme dokupy a zajišťujeme jejich dlouhodobou správu.

Co je EmDash a proč vznikl

Cloudflare se na problém bezpečnosti WP podíval z jiného úhlu. Místo dalšího bezpečnostního pluginu napsal celý CMS znovu od základu.

EmDash je full-stack redakční systém v TypeScriptu postavený na frameworku Astro. Neobsahuje ani řádek kódu z WordPressu. Vznikl 1. dubna 2026, vydán pod MIT licencí, a za pouhé tři dny nasbíral na GitHubu přes 6 800 hvězd.

Mezi hlavní vlastnosti patří:

Sandboxované pluginy. Největší slabina WordPressu jsou pluginy s přístupem k celému systému. Jeden špatný plugin může ohrozit celý web. EmDash pluginy izoluje, každý běží ve vlastním prostředí bez přístupu ke zbytku systému.

Šablony na Astru. Žádné PHP. Astro je moderní JS framework optimalizovaný pro statický obsah a rychlost. Pro vývojáře zvyklé na React, Vue nebo Svelte je to přirozené prostředí.

Integrovaný MCP server. AI agenti (Claude Code, Cursor a další) mohou nativně přistupovat k obsahu webu, vytvářet příspěvky, upravovat metadata nebo spouštět publikování. Bez scrapování, bez vlastní integrace. CMS se stává nativním nástrojem pro AI workflow.

Serverless i self-hosted. Primárně navrženo pro Cloudflare Workers, ale běží i na vlastním serveru.

MCP server zní skvěle. Ale WordPress to umí taky

Integrovaný MCP server je věc, kterou Cloudflare prezentuje jako hlavní přednost EmDash. A je to zajímavá funkce. AI agent si přes MCP protokol přečte obsah webu, vytvoří nový článek, upraví kategorii nebo spustí publikování. Bez screenscraping, bez vlastního API kódu.

Jenže WordPress tohle zvládá taky. Stačí postavit MCP server nad jeho REST API nebo WP-CLI. A tím získáte přístup k mnohem širší funkcionalitě: zálohování, hromadná náhrada textu v databázi, instalace a aktualizace pluginů, správa obsahu, údržbový režim. Řada WP pluginů navíc nabízí vlastní CLI příkazy.

WordPress se dá rozšířit o libovolné vlastní API a MCP funkce propojitelné s AI agenty jako ChatGPT, Claude nebo Claude Code. Nebo je zapojit do automatizačních nástrojů. Ekosystém je obrovský a dobře zdokumentovaný.

EmDash má MCP server vestavěný, WordPress si ho musíte dostavět. Ale výsledek může být totožný, případně i bohatší díky 25 letům vývoje a tisícům pluginů.

🎮 Vyzkoušejte si EmDash zdarma
Cloudflare provozuje veřejný playground, kde si můžete EmDash naklikat a vyzkoušet bez instalace. Stačí pár sekund a máte vlastní instanci v prohlížeči. Zkusit playground →

Migrace z WordPressu: ne tak rychle

Cloudflare připravil dva způsoby přechodu. Export WXR souboru z administrace WordPressu, nebo instalace pluginu EmDash Exporter, který nastaví REST API endpoint a přenese obsah za pár minut včetně médií.

Zní to jednoduše. Ale migruje se pouze obsah článků. Šablony, reklamní plochy, nastavení SMTP pro formuláře, custom post types, vlastní PHP snippety? To všechno bude potřeba vytvořit znovu.

Reálně se přechod z WordPressu na EmDash podobá spíše tvorbě nového webu než pouhé migraci. WordPress má za sebou 25 let historie, miliony návodů, aktivní komunitu na StackOverflow a armádu profesionálů. EmDash existuje pár dní.

Co na tom vydělají tvůrci obsahu

EmDash má také nativní podporu platebního standardu x402, který Cloudflare vyvinul společně s Coinbase. Umožňuje mikrotransakce za obsah přímo přes HTTP protokol, bez prostředníků a bez účtů. Pro většinu českých firem to zatím není klíčová funkce, ale ukazuje to směr, kterým se webové platby ubírají.

Doplněk: Pohled z druhé strany — co na EmDash říká vývojář z Cloudflare

Krátce po vydání článku jsme narazili na video od vývojáře, který nedávno nastoupil přímo do Cloudflare. Přidává k EmDash perspektivu, kterou jsme původně přehlédli a stojí za to ji zmínit. Podle něj je nejdůležitější část celého projektu něco, co se v marketingových textech skoro neobjevuje. Dynamic workers.

Dynamic workers: skutečný motor sandboxovaných pluginů

Sandboxované pluginy jsou v EmDash hodně zdůrazňované. Málokdo ale vysvětluje, jak konkrétně fungují. Odpověď zní: dynamic workers postavené na V8 isolates. Každý plugin běží ve svém izolovaném prostředí s explicitně definovanými oprávněními. Bez povolení nemůže sáhnout na databázi, šablonu, mediální knihovnu ani vyslat externí požadavek.

Pro vývojáře je tam ještě jeden detail, který stojí za pozornost. V8 isolates startují pod pět milisekund. To znamená, že plugin se nahodí jen ve chvíli, kdy ho spustí konkrétní hook, vykoná svoji práci a zase zmizí. Žádné permanentně běžící procesy v paměti, žádné resource leaky z opuštěných pluginů. Z pohledu výkonu i bezpečnosti je to úplně jiná liga než klasické WordPress pluginy.

Astro a Tailwind: tichá výhoda pro AI

EmDash běží na Astru, framework, který Cloudflare letos koupil. Pro mnoho vývojářů je to jen detail v technické dokumentaci. Vývojář z videa ale upozorňuje na zajímavý vedlejší efekt. Astro velmi často kombinujete s Tailwind CSS. A AI modely umí Tailwind generovat výrazně líp než většinu jiných CSS přístupů. Prostě protože toho mají v trénovacích datech mnohem víc.

V praxi to znamená, že když si necháte Claude nebo ChatGPT vygenerovat novou komponentu pro váš EmDash web, výsledek bude pravděpodobně použitelný hned napoprvé. To u WordPressu plného PHP, hooku a šablonových konvencí takhle plynulé není. Pro firmy, které chtějí AI zapojit do tvorby vlastních webů, je tohle reálná konkurenční výhoda.

Bezpečné prostředí pro vibe coding

Nejzajímavější část se týká AI agentů. Když dáte AI nástroji za úkol něco udělat na vašem webu, často sáhne po nejjednodušším řešení: napíše si vlastní kód a spustí ho. Jenže spouštět AI generovaný kód s plnými právy na produkční web je pomalu jistá cesta k průšvihu.

Dynamic workers tohle elegantně řeší. AI agent může napsat kus kódu, který se spustí v izolovaném prostředí přesně s těmi právy, která potřebuje. Nic víc. Tomu se v komunitě začíná říkat code mode, případně vibe coding s ochrannou sítí. EmDash je jeden z prvních CMS, který tohle nabízí jako nativní vlastnost, ne jako patch nebo plugin třetí strany.

Co si z toho vzít

Náš původní pohled na EmDash zůstává stejný. Pro zaběhnutý web na WordPressu je s přechodem brzy. Co se ale doplněním tohoto pohledu mění, je zařazení EmDash do kontextu. Není to jen další pokus o moderní WordPress. Je to první mainstreamový CMS postavený od základu pro éru, kde AI agenti budou s obsahem reálně pracovat. A dynamic workers jsou klíčový technický předpoklad, který to umožňuje.

Pokud stavíte něco nového a vidíte v horizontu pár let nasazení AI workflow napříč firmou, EmDash si zaslouží pozornost přesně z tohoto důvodu. Ne kvůli marketingovým bodům o sandboxu, ale kvůli tomu, co dynamic workers umožní za rok dva, až dozraje ekosystém a najdou se další kreativní využití.

Vyplatí se EmDash sledovat?

EmDash přináší několik dobrých nápadů. Sandboxované pluginy řeší reálný problém. Moderní stack v TypeScriptu osloví vývojáře, kteří PHP nemají rádi. A integrovaný MCP server naznačuje budoucnost, kde CMS nativně spolupracuje s AI agenty.

Zároveň je to projekt v úplných začátcích. Nemá ekosystém, nemá komunitu řešitelů problémů, nemá ověření na produkčních webech. WordPress s jeho 43% podílem na webu jen tak nezmizí.

Pokud máte zaběhnutý web na WordPressu, s přechodem bych počkal, dokud EmDash nedozraje a nevznikne kolem něj ekosystém srovnatelný s tím wordpressovým. Pokud stavíte nový projekt a chcete experimentovat s moderní architekturou, EmDash si klidně vyzkoušejte. A hlavně sledujte, kam se projekt za rok posune.

👉 Potřebujete pomoct s AI automatizací nebo správou WordPressu? Ozvěte se nám na bezplatnou konzultaci.