9. prosince 2026 končí oficiální podpora Drupalu 10. Zbývají tedy zhruba čtyři měsíce. Pokud na něm běží váš web – a běží na něm velká část webů v Česku – je nejvyšší čas si naplánovat, co dál.
Konec podpory neznamená, že web ze dne na den přestane fungovat. Znamená něco méně viditelného, ale nepříjemnějšího: přestanete dostávat bezpečnostní záplaty. A každá další chyba, která se objeví, už zůstane neopravená.
- Co konec podpory ve skutečnosti znamená
- Které verze Drupalu mají dnes podporu
- Kolika webů se to týká
- Proč je nepodporovaný web reálné riziko
- Jak zjistíte, na čem váš web běží
- Upgrade, nebo migrace?
- Kdy s tím začít
Co konec podpory ve skutečnosti znamená
Dokud má verze Drupalu podporu, stará se o ni oficiální bezpečnostní tým. Ten přijímá hlášení o zranitelnostech, koordinuje opravy a vydává je v pevných termínech – bezpečnostní aktualizace jádra vycházejí zpravidla třetí středu v měsíci.
Dnem konce podpory tenhle mechanismus skončí. Konkrétně to znamená:
- Na nalezené zranitelnosti nevyjdou žádné opravy.
- Přestanou vycházet aktualizace kontribuovaných modulů pro danou verzi.
- Web postupně přestane být kompatibilní s novějšími verzemi PHP a databází.
- Projekt je na drupal.org označen jako nepodporovaný – tuto informaci vidí kdokoli.
Ten poslední bod je důležitější, než se zdá. Informace o zranitelnostech se zveřejňují, takže útočník přesně ví, co na nepodporované verzi hledat. Nemusí nic objevovat – stačí mu číst.
Případ „Drupalgeddon 2"
V březnu 2018 vyšla oprava kritické zranitelnosti Drupalu (CVE-2018-7600). Zhruba dva týdny bylo ticho – a pak začalo plošné automatizované zneužívání. Weby, které záplatu do poloviny dubna nenasadily, byly podle bezpečnostních analýz napadené opakovaně. Weby, které aktualizovaly včas, problém neměly.
Přesně v tom je jádro věci: obrana existovala, ale musel ji někdo nasadit. Na verzi bez podpory už žádná záplata nevyjde.
Které verze Drupalu mají dnes podporu
Přehled k srpnu 2026:
| Verze | Stav | Konec podpory |
|---|---|---|
| Drupal 7 | ✗ bez podpory | 5. 1. 2025 |
| Drupal 8 | ✗ bez podpory | 2. 11. 2021 |
| Drupal 9 | ✗ bez podpory | 1. 11. 2023 |
| Drupal 10 | podpora končí | 9. 12. 2026 |
| Drupal 11 | ✓ aktuální | – |
| Drupal 12 | vychází v prosinci 2026 | – |
Zdroj: harmonogram vydání Drupalu
Pozor i na menší čísla: v prosinci 2026 skončí bezpečnostní podpora také pro Drupal 11.3. Nestačí tedy jen „být na jedenáctce" – je potřeba být na její aktuální podverzi.
Kolika webů se to týká
Nejde o okrajový problém – právě naopak. Takhle vypadá rozložení verzí mezi weby na Drupalu po celém světě:
Drupal 10 – podpora končí 9. 12. 2026
31,0 %
Drupal 7 – bez podpory od ledna 2025
29,8 %
Drupal 11 – aktuální verze
18,3 %
Drupal 9 – bez podpory
10,1 %
Drupal 8 – bez podpory
8,6 %
Drupal 6 a starší – bez podpory
2,2 %
Zdroj: W3Techs, data k 2. 8. 2026.
To nejdůležitější z těch čísel: více než polovina webů na Drupalu (50,7 %) už dnes běží na verzi bez bezpečnostní podpory. Zdaleka největší část tvoří sedmička, které skončila podpora v lednu 2025 – a přesto na ní pořád stojí bezmála třetina všech drupalových webů.
A teď to podstatné pro letošek: Drupal 10 drží dalších 31 %. Pokud tyhle weby do prosince nepřejdou na jedenáctku, vyšplhá podíl nepodporovaných webů nad 80 %.
Pro srovnání – přímo statistiky drupal.org (k 19. 7. 2026) evidují téměř 229 000 webů na Drupalu 10 a přes 96 000 na už nepodporovaných verzích 8 a 9.
Proč je nepodporovaný web reálné riziko
Argument „vždyť nám web funguje" bohužel neobstojí. Zastaralý web přináší několik konkrétních problémů:
Známé, neopravené díry
Zranitelnosti se zveřejňují, ale pro vaši verzi už oprava nevyjde. Web je terč, na který stačí návod.
Únik dat a odpovědnost
Při úniku osobních údajů řešíte GDPR, ohlášení úřadu a důvěru zákazníků – ne jen opravu webu.
Problém pro partnery
Pokud dodáváte firmám spadajícím pod NIS2, jste součástí jejich dodavatelského řetězce – a ony to po vás budou chtít doložit.
Rostoucí cena odkladu
Čím déle čekáte, tím větší skok vás čeká. Z plánovaného upgradu se stane nucená přestavba.
Že nejde o teorii, ukazují data z praxe: podle bezpečnostní firmy Sucuri bylo 39 % napadených webů v okamžiku infekce provozováno na zastaralé verzi redakčního systému. Zastaralý CMS tak zůstává jednou z hlavních vstupních bran útočníků.
Zkušenost je pak jednoznačná: napadený web se řeší v časovém tlaku, o víkendu a dráž, než by stál plánovaný upgrade.
Jak zjistíte, na čem váš web běží
Zjistit to zabere dvě minuty a nepotřebujete k tomu programátora:
- Přihlaste se do administrace webu.
- Otevřete Zprávy → Stav webu (v anglické verzi Reports → Status report).
- Úplně nahoře uvidíte verzi Drupalu. Na stejné stránce najdete i upozornění na dostupné aktualizace.
Pokud tam vidíte číslo začínající sedmičkou, osmičkou nebo devítkou, váš web už dnes bezpečnostní záplaty nedostává. U desítky máte čas do prosince.
Upgrade, nebo migrace?
Rozsah práce se zásadně liší podle toho, odkud vycházíte:
Z Drupalu 10 na 11 – běžný upgrade. Od verze 8 výš už Drupal nevyžaduje kompletní přestavbu. Aktualizují se moduly, prověří se vlastní kód a vyřeší se zastaralé funkce. U udržovaného webu jde o řádově dny, ne měsíce.
Z Drupalu 7 – v podstatě nový web. Sedmička stojí na jiných technologických základech, takže se obsah migruje a web se staví znovu. Je to větší projekt, ale zároveň příležitost k redesignu a úklidu obsahu.
Ať tak či tak, prvním krokem je audit webu. Ukáže, v jakém stavu jsou moduly a vlastní kód, a z toho vyplyne reálný rozsah i cena.
Kdy s tím začít
Do konce podpory zbývají zhruba čtyři měsíce. Když se do toho pustíte teď, je to klidný plánovaný projekt. Když v listopadu, je to hašení požáru za vyšší cenu.
Běžíte na Drupalu 10? Takhle to stihnete v klidu
| Kdy | Co se děje |
|---|---|
| Srpen – září | Audit a plán. Zjistíte, v jakém stavu jsou moduly a vlastní kód, co bude potřeba přepsat a kolik to bude stát. Z toho vznikne zadání i rozpočet. |
| Září – říjen | Samotný upgrade. Práce probíhá na testovací kopii webu. Aktualizují se moduly, řeší se nekompatibility a zastaralé funkce. Ostrý web mezitím běží dál. |
| Listopad | Testování a nasazení. Projdete web, otestujete formuláře a napojení na další systémy, a teprve pak se přepíná. Zbývá rezerva na to, co se vždycky objeví na poslední chvíli. |
| 9. prosince | Konec podpory Drupalu 10. Od tohoto dne už na desítku nevyjdou žádné bezpečnostní záplaty. Ve stejném týdnu vychází Drupal 12. |
Časová osa platí pro běžný, průběžně udržovaný web. U rozsáhlejších projektů s množstvím vlastního kódu počítejte s delším průběhem.
Běžíte na Drupalu 7, 8 nebo 9?
Pak už jste za termínem a čekat nemá na co. U sedmičky jde navíc o projekt na měsíce, ne na týdny, takže čím dřív začnete, tím lépe. Než bude nová verze hotová, dávají smysl alespoň dočasná opatření, která riziko sníží:
- omezit přístup do administrace jen na známé IP adresy nebo přes VPN,
- zapnout dvoufaktorové ověření všem administrátorům,
- nasadit ochranu na úrovni serveru či firewallu,
- zvýšit frekvenci záloh a ověřit, že jde web ze zálohy skutečně obnovit.
Nejsou to náhrady za aktualizaci – jen způsob, jak přežít mezidobí s menším rizikem.
Praktická poznámka: kapacity dodavatelů se před termínem plní. Weby, které se ozvou v říjnu a listopadu, se potkají ve frontě se všemi ostatními – a vybírají si z toho, co zbylo.
Závěr
Konec podpory není katastrofa, pokud se na něj připravíte. Stává se jí teprve tehdy, když ho přejdete mlčením a řešíte ho až ve chvíli, kdy je web napadený.
Shrnuto do tří vět: 9. prosince 2026 skončí podpora Drupalu 10. Běží na něm skoro třetina všech drupalových webů a další polovina už dnes stojí na verzích, které záplaty nedostávají. Do prosince zbývají čtyři měsíce – dost na klidný upgrade, málo na odkládání.
Začněte tím nejjednodušším: otevřete v administraci Zprávy → Stav webu a podívejte se, jaké číslo tam svítí. Pokud začíná desítkou, máte termín. Pokud sedmičkou, osmičkou nebo devítkou, máte ho už dávno po termínu.
Nevíte, jak na tom váš web je?
Napište nám verzi Drupalu, na které běžíte – a my vám řekneme, co vás čeká, jak dlouho to potrvá a jestli to do prosince stihnete. Nezávazně a bez omáčky.
Potřebujete detailnější obrázek? Pak je na místě audit webu, který prověří moduly, vlastní kód i celkový stav zabezpečení.
