Bezpečnostní hrozby pro weby v roce 2026 jsou sofistikovanější než kdy dřív – a přitom nejrozšířenější zranitelnosti zůstávají překvapivě podobné těm z před pěti let. OWASP vydal koncem roku 2025 novou verzi svého slavného žebříčku Top 10, která reflektuje aktuální realitu webové bezpečnosti. Pokud váš web nebo aplikace ještě neprošly bezpečnostním auditem z pohledu OWASP 2025, je nejvyšší čas to napravit.
Co je OWASP Top 10 a proč na něm záleží?
OWASP (Open Web Application Security Project) je nezisková organizace, která od roku 2003 vydává žebříček nejkritičtějších bezpečnostních rizik pro webové aplikace. Žebříček Top 10 je de facto standardem v oboru: slouží jako základ pro bezpečnostní audity, penetrační testování i jako referenční rámec pro bezpečnostní požadavky v tendrech. Verze z roku 2025 přinesla oproti předchozímu vydání z roku 2021 několik zásadních změn, které reflektují nástup AI, cloud-native architektur a sofistikovanějších supply chain útoků.
Klíčové změny v OWASP Top 10:2025
#1 – Broken Access Control (stále na vrcholu)
Broken Access Control zůstává na prvním místě a nyní oficiálně zahrnuje i Server-Side Request Forgery (SSRF). Tato kategorie postihuje 3,73 % všech testovaných aplikací – nejvyšší míra ze všech kategorií. V praxi to znamená, že uživatel může přistupovat k datům nebo funkcím, ke kterým nemá oprávnění. Typickým příkladem je URL manipulace (/user/123 změněné na /user/124) nebo přímý přístup k API endpointu bez ověření role.
#2 – Security Misconfiguration (největší posun)
Security Misconfiguration skočila z pozice #5 (2021) na #2 (2025) – jde o největší posun v historii žebříčku. Zahrnuje nevhodná výchozí nastavení, otevřené cloudové úložiště, chybějící HTTP bezpečnostní hlavičky (CSP, HSTS, X-Frame-Options) nebo nechráněné administrační rozhraní. Pro WordPress weby je tato kategorie obzvláště relevantní: výchozí nastavení WordPressu nevyhovuje bezpečnostním standardům a vyžaduje aktivní zásah.
#3 – Injection (SQL, NoSQL, OS a nově Prompt Injection)
Injekční útoky jsou stále třetím největším rizikem. SQL injekce sice ustupuje díky rozšíření ORM frameworků, ale nahrazuje ji NoSQL injekce, OS command injection a prompt injection v AI aplikacích – nová hrozba, která se dostala do Top 10 poprvé. Každý vstup od uživatele musí být validován a sanitizován; nikdy neskládejte SQL dotazy nebo příkazy jako přímé řetězce z uživatelského vstupu.
#4 – Insecure Design (nová kategorie)
Insecure Design je kategorií, která se v žebříčku OWASP Top 10 objevuje poprvé. Odráží posun ve vnímání bezpečnosti – od opravování chyb v existujícím kódu k bezpečnému návrhu od základu (Security by Design). Typické problémy: nedostatečné ověřování vstupních dat na úrovni architektury, absence rate limiting na přihlašovacích formulářích nebo chybějící bezpečnostní modely hrozeb (threat modeling) při vývoji nových funkcí.
#5 – Software and Data Integrity Failures (rozšířená supply chain kategorie)
Tato kategorie se v roce 2025 rozšířila a zahrnuje celý supply chain – nejen zastaralé komponenty, ale i kompromitované npm balíčky, škodlivé aktualizace a slabiny v build a distribučních pipeline. Incidenty jako SolarWinds nebo kompromitace xz utils ukázaly, jak devastující mohou být supply chain útoky. Pravidelná aktualizace závislostí a monitoring (Dependabot, Snyk) je dnes povinností.
#6 – #10: Další kritická rizika
Zbytek Top 10 tvoří: Security Logging and Monitoring Failures (bez logů nepoznáte útok), Cryptographic Failures (slabé nebo chybějící šifrování), SSRF nyní jako samostatná kategorie, Identification and Authentication Failures (slabá hesla, chybějící MFA) a Insecure Deserialization. Každá z těchto kategorií má jasné, prakticky implementovatelné protiopatření dostupné i pro malé týmy.
OWASP 2025 a WordPress: Co udělat hned
Pro provozovatele WordPress webů jsou nejrelevantnější tyto kroky:
- Aktualizujte WordPress, témata i pluginy – zastaralý software je příčinou většiny napadení.
- Implementujte HTTP bezpečnostní hlavičky – Content-Security-Policy, X-Frame-Options, HSTS.
- Omezte přihlašovací pokusy – rate limiting na wp-login.php a XML-RPC.
- Zapněte dvoufaktorové ověření (2FA) pro všechny administrátorské účty.
- Auditujte uživatelská oprávnění – princip nejnižšího privilegia (Least Privilege).
- Monitorujte logy – bez viditelnosti do chování webu nepoznáte kompromitaci.
Závěr
OWASP Top 10:2025 jasně ukazuje, že bezpečnost webových aplikací není jednorázový projekt, ale kontinuální proces. Hrozby se vyvíjejí – přibývají AI-specifické zranitelnosti a supply chain útoky – ale základní principy zůstávají stejné: validujte vstupy, správně nastavte oprávnění, udržujte komponenty aktuální a monitorujte anomálie. Chcete bezpečnostní audit vašeho webu podle OWASP 2025? Kontaktujte nás – nabízíme profesionální penetrační testování a bezpečnostní posouzení.
