Joomla 3 i 4 bez wsparcia: co to znaczy dla strony urzędu i firmy, i co zrobić w 2026?

Przez lata Joomla była w Polsce jednym z najczęstszych wyborów dla stron gmin, szkół, bibliotek i ośrodków kultury, a także tysięcy firm. Sami budowaliśmy i utrzymywaliśmy takie serwisy, więc nie piszemy tego przeciwko Joomli, tylko o wersjach, które zostały z tyłu. Joomla 3 nie dostaje poprawek bezpieczeństwa od 17 sierpnia 2023, a płatny program przedłużonego wsparcia skończył się 17 lutego 2025. Joomla 4 straciła wsparcie 14 października 2025. Nic przy tym nie pękło i żadna strona nie zgasła, dlatego większość właścicieli takich serwisów w ogóle o tym nie wie.

Jak sprawdzić, na jakiej wersji stoi strona

Są trzy sposoby, od najpewniejszego do najbardziej orientacyjnego. Wystarczy jeden.

1. W panelu administracyjnym

Zaloguj się pod adresem strony z dopiskiem /administrator. W menu System jest pozycja Informacje o systemie, a w niej w pierwszych wierszach pełny numer wersji Joomli i wersja PHP na serwerze. Zapisz oba numery, przydadzą się dalej.

2. Bez logowania, po jednym pliku

Wpisz w przeglądarce adres strony z dopiskiem /administrator/manifests/files/joomla.xml. W wielu instalacjach ten plik jest publicznie dostępny, a w polu version stoi dokładny numer. Jeśli plik się otwiera, wiesz przy okazji coś jeszcze: każdy może to sprawdzić, także ktoś, kto właśnie szuka podatnych stron. Zamknięcie dostępu do tego pliku to jedna z pierwszych rzeczy, którą robimy przy porządkowaniu starych serwisów.

3. Po plikach widocznych w kodzie strony

Otwórz stronę główną, kliknij prawym przyciskiem i wybierz „Pokaż źródło strony", a potem poszukaj (Ctrl+F) kilku ścieżek. Katalog /templates/protostar/, /templates/beez3/ albo /media/jui/ oznacza Joomlę 3. Katalog /templates/beez_20/ albo skrypt mootools wskazuje na jeszcze starszą Joomlę 2.5. Z kolei /media/vendor/, /templates/cassiopeia/ albo /media/templates/site/ to Joomla 4 lub nowsza, przy czym po samych plikach nie da się odróżnić czwórki od piątki i szóstki. Nasz bezpłatny test strony rozpoznaje te ślady automatycznie i mówi wprost, czy to jeszcze Joomla 3.

Co właściwie znaczy koniec wsparcia

Koniec wsparcia to nie awaria. Strona wygląda tak samo jak dzień wcześniej, formularze działają, aktualności się publikują. Zmienia się jedno: zespół projektu przestaje wydawać poprawki dla tej gałęzi. W praktyce oznacza to trzy rzeczy, które ujawniają się z opóźnieniem.

Znane luki zostają otwarte na stałe

Dobry przykład dała sama Joomla. W lutym 2023 opublikowano lukę w Joomli 4.0 do 4.2.7, która pozwalała bez logowania odczytać konfigurację serwisu, w tym dane dostępowe do bazy danych. Poprawka wyszła w wersji 4.2.8 w ciągu kilku dni, bo gałąź była wspierana, a exploit i tak krążył w sieci przez tygodnie i był masowo wykorzystywany na stronach, których nikt nie zaktualizował. Taka sama luka wykryta dziś w Joomli 3 albo 4 nie dostanie poprawki już nigdy. Podatność zostaje opisana publicznie, narzędzia do jej wyszukiwania powstają w ciągu dni, a lista stron do sprawdzenia jest dla atakującego jawna, bo wersję Joomli widać po plikach.

Rozszerzenia i szablony odchodzą razem z wersją

Strona na Joomli to rzadko sam rdzeń. Galeria, formularz, kalendarz wydarzeń, wyszukiwarka, szablon z frameworkiem: każde z tych rozszerzeń ma autora, który utrzymuje wersję na Joomlę 3 tylko dopóki mu się to opłaca. Po zakończeniu wsparcia rdzenia większość z nich zamyka gałąź na trójkę. W efekcie nawet ktoś, kto chciałby łatać serwis własnymi siłami, nie ma skąd brać poprawek do połowy komponentów.

Hosting wygasza PHP, na którym Joomla 3 jeszcze działa

To właśnie ten mechanizm w końcu przewraca stare serwisy. Joomla 3.10 była projektowana pod PHP 8.0, na PHP 8.1 działa z zastrzeżeniami, a na 8.2 i nowszych już nie działa poprawnie. Tymczasem PHP 8.0 straciło wsparcie 26 listopada 2023, a PHP 8.1 31 grudnia 2025. Hostingi usuwają niewspierane wersje PHP ze swoich serwerów, bo same nie chcą utrzymywać dziurawego oprogramowania. W dniu, w którym hosting wyłączy PHP 8.1, strona na Joomli 3 przestaje działać albo zaczyna sypać błędami. Jeśli hosting tej wersji nie wyłączy, zostają dwie niewspierane warstwy zamiast jednej.

Dlaczego to nie jest sprawa wyłącznie informatyka

W firmie nieaktualna strona to ryzyko biznesowe i temat na rozmowę z właścicielem. W jednostce publicznej to coś więcej, bo dotyczą jej trzy różne przepisy. Żaden nie wymienia Joomli z nazwy, ale każdy opisuje obowiązki, których serwis na niewspieranej wersji nie spełnia.

Krajowe Ramy Interoperacyjności: aktualizacja oprogramowania jest obowiązkiem

Rozporządzenie Rady Ministrów z 21 maja 2024 roku w sprawie Krajowych Ram Interoperacyjności (Dz.U. 2024 poz. 773) obowiązuje podmioty realizujące zadania publiczne i w § 19 nakłada na nie obowiązek prowadzenia systemu zarządzania bezpieczeństwem informacji. Kierownictwo podmiotu ma zapewnić między innymi „dbałość o aktualizację oprogramowania" oraz „redukcję ryzyk wynikających z wykorzystania opublikowanych podatności technicznych systemów teleinformatycznych". Ten sam paragraf wymaga aktualnej inwentaryzacji sprzętu i oprogramowania wraz z konfiguracją, okresowej analizy ryzyka, zapisów o bezpieczeństwie informacji w umowach serwisowych ze stronami trzecimi oraz audytu wewnętrznego bezpieczeństwa informacji nie rzadziej niż raz na rok.

Strona urzędu jest systemem teleinformatycznym podmiotu publicznego, przetwarza dane mieszkańców choćby przez formularze i stoi na oprogramowaniu, którego nie da się zaktualizować, bo aktualizacje nie istnieją. W corocznym audycie wewnętrznym trudno ten stan opisać inaczej niż jako niezgodność, a w analizie ryzyka trudno go obronić, bo lista opublikowanych podatności starych wersji Joomli jest publiczna i rośnie.

Ustawa o KSC po NIS2: kierownik jednostki odpowiada osobiście

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 i objęła samorządy. Urzędy marszałkowskie, starostwa i urzędy gmin zatrudniające co najmniej 50 osób są w niej podmiotami kluczowymi, mniejsze urzędy, samorządowe jednostki budżetowe, instytucje kultury i spółki komunalne podmiotami ważnymi. Obowiązki opisaliśmy we wpisie o NIS2 i ustawie o KSC: system zarządzania bezpieczeństwem informacji oparty na analizie ryzyka, zgłaszanie incydentów w 24 godziny, wpis do wykazu do 3 października 2026, wdrożenie obowiązków do 3 kwietnia 2027. Nowością, która zmieniła ton rozmów w urzędach, jest osobista odpowiedzialność kierownika podmiotu: w podmiotach publicznych kara może sięgnąć 100 procent wynagrodzenia. Strona internetowa jest zwykle najbardziej widocznym z zewnątrz systemem jednostki i pierwszym, o który zapyta audytor.

Klasyfikację konkretnej jednostki, zwłaszcza szkoły czy ośrodka podległego gminie, warto potwierdzić z prawnikiem, bo ustawa zna wyjątki. Obowiązek dbania o aktualność systemów nie zależy jednak od tego, czy jednostka jest kluczowa czy ważna.

Ustawa o dostępności cyfrowej: stary szablon rzadko przechodzi

Ustawa z 4 kwietnia 2019 roku o dostępności cyfrowej wymaga od stron podmiotów publicznych zgodności z WCAG 2.1 na poziomie AA i normą EN 301 549, a także deklaracji dostępności przeglądanej do 31 marca każdego roku. Szablony z czasów Joomli 3 powstawały mniej więcej w latach 2012-2018 i z naszego doświadczenia rzadko spełniają dzisiejsze kryteria: kontrasty, widoczny fokus przy nawigacji klawiaturą, poprawna hierarchia nagłówków, opisy alternatywne, obsługa menu bez myszy. Da się to poprawiać w istniejącym szablonie, ale na niewspieranej wersji systemu to inwestowanie w coś, co i tak trzeba będzie wymienić. Co dokładnie musi spełniać serwis jednostki publicznej, opisaliśmy w ofercie dla urzędów i instytucji.

A jeśli to firma, nie urząd

Firmy nie obowiązują Krajowe Ramy Interoperacyjności, ale obowiązuje je RODO, które wymaga odpowiednich środków technicznych ochrony danych, a brak jakichkolwiek aktualizacji trudno nazwać odpowiednim środkiem. Coraz częściej dochodzi do tego drugi mechanizm: większy kontrahent objęty ustawą o KSC musi pilnować bezpieczeństwa swoich dostawców i przysyła ankietę z pytaniami o wersje oprogramowania i sposób aktualizacji. Odpowiedź „Joomla 3, bez aktualizacji od 2023" kończy się zwykle nie karą, tylko wypadnięciem z listy dostawców.

Trzy drogi i dla kogo która

Wyjścia są trzy i każde ma sens w innej sytuacji. Nie ma jednego poprawnego, jest za to jedno, które najczęściej wybiera się przez zaniechanie.

• Droga 1: aktualizacja w rodzinie JoomliZ Joomli 3.10 aktualizator pozwala przejść na 4.4 po sprawdzeniu zgodności rozszerzeń narzędziem Pre-Update Checker. Domyślny szablon Protostar nie ma wersji na czwórkę i zostaje zastąpiony przez Cassiopeię, pozycje modułów są inne, a rozszerzenia bez wydania na Joomlę 4 trzeba wymienić na inne. Potem z 4.4 przechodzi się na 5.x, a z 5.4 na 6.0, i te dwa kroki są już zwykłymi aktualizacjami, nie migracjami. W praktyce dla serwisu z własnym szablonem i kilkunastoma rozszerzeniami to projekt, w którym szablon powstaje od nowa. Dla kogo: dla jednostki, która ma informatyka aktualizującego serwis na bieżąco, dużo treści zależnej od konkretnych rozszerzeń Joomli i strukturę serwisu, której nie chce zmieniać.
• Droga 2: nowy serwis od podstawSkoro szablon i tak trzeba zrobić od nowa, a treści i tak przejrzeć, wiele jednostek wybiera budowę serwisu od podstaw: lekka strona bez systemu z wtyczkami, które trzeba co miesiąc łatać, z panelem redakcyjnym pod konkretne zadania (aktualności, ogłoszenia, pliki, kontakty) i z dostępnością wbudowaną od pierwszego dnia, więc deklaracja opisuje stan faktyczny. Treści przenosimy, stare adresy dostają przekierowania 301, BIP zostaje podpięty. Dla kogo: dla jednostki bez własnego IT, dla serwisu, który i tak nie przeszedłby kontroli dostępności, i dla każdego, komu szablon z 2014 roku nie odpowiada także wizualnie.
• Droga 3: zostawić i zabezpieczyćTo także decyzja, tylko trzeba ją podjąć świadomie i zapisać w analizie ryzyka, a nie odkryć przy kontroli. Minimum, które daje trochę czasu: kopie zapasowe z przetestowanym odtworzeniem, ograniczenie dostępu do panelu /administrator do wybranych adresów albo dodatkowego hasła, dwuskładnikowe logowanie, usunięcie nieużywanych rozszerzeń, zapora aplikacyjna przed serwisem i monitoring zmian w plikach. Trzeba przy tym powiedzieć wprost: żadna wtyczka bezpieczeństwa nie zastępuje poprawek rdzenia, a hosting w końcu wyłączy stare PHP. Dla kogo: dla jednostki, która ma zaplanowaną przebudowę w konkretnym terminie i musi bezpiecznie dotrwać do niej przez kilka miesięcy.

Uczciwie: nie każda strona musi odchodzić z Joomli. Joomla 5 i 6 są wspierane, mają automatyczne aktualizacje rdzenia i dla jednostki, w której ktoś się nimi na bieżąco zajmuje, są dobrym wyborem. Problem nie leży w nazwie systemu, tylko w wersji, której nikt nie pilnuje.

Co z BIP i systemami dziedzinowymi

Biuletyn Informacji Publicznej większość jednostek prowadzi w osobnym systemie zewnętrznego dostawcy, więc przebudowa strony głównej go nie obejmuje. Budujemy serwis główny i podpinamy istniejący BIP w widocznym miejscu. Jeśli BIP stoi na tej samej instalacji Joomli co strona główna, traktujemy go jako osobny zakres, bo ma własne wymagania co do struktury i rejestru zmian, i wyceniamy po przejrzeniu. Systemy dziedzinowe, elektroniczne zarządzanie dokumentacją i skrzynki podawcze zostają tam, gdzie są. Strona jedynie do nich prowadzi.

Ile to kosztuje i czy trzeba przetargu

Od 1 stycznia 2026 roku próg stosowania ustawy Prawo zamówień publicznych wynosi 170 000 zł netto (ustawa z 25 lipca 2025 roku, Dz.U. 2025 poz. 1173). Zamówienie o niższej wartości prowadzi się według wewnętrznego regulaminu zamawiającego: szacowanie wartości, rozeznanie rynku, wybór wykonawcy. Nasze ceny podajemy jawnie, bo są potrzebne właśnie do tego szacowania.

• Serwis jednej jednostki, czyli urząd gminy, szkoła, biblioteka, ośrodek kultury lub pomocy społecznej, orientacyjnie do około 100 podstron i dokumentów do przeniesienia: od 12 000 zł netto. W cenie dostępność WCAG 2.1 AA, deklaracja dostępności, RODO, przeniesienie treści, przekierowania 301, panel redakcyjny i szkolenie.
• Duży zasób albo jednostki podległe, z latami archiwum ogłoszeń, uchwał i naborów, wyszukiwarką po zasobie i kalendarzem: od 24 000 zł netto.
• Kilka powiązanych serwisów jednej instytucji, redagowanych osobno, z integracjami: od 60 000 zł netto, po analizie przedwdrożeniowej.
• Opieka i rozwój, czyli aktualizacje, poprawki, wsparcie redaktorów i coroczny przegląd deklaracji dostępności do 31 marca: od 1 400 zł netto miesięcznie.

Serwis w podstawowym zakresie zajmuje zwykle od sześciu do dziesięciu tygodni od przekazania materiałów. Pełny cennik, w tym dostosowanie dokumentów i audyt dostępności istniejącej strony, jest w ofercie dla urzędów i instytucji. Firmy z serwisem na starej Joomli obsługujemy w tych samych widełkach, szczegóły w ofercie stron internetowych.

Jak przenosimy serwis ze starej Joomli

Kolejność jest zawsze ta sama, bo to ona decyduje, czy po uruchomieniu nowej strony coś zginie.

1. Inwentaryzacja. Spisujemy treści, rozszerzenia, formularze, konta użytkowników i wszystkie adresy podstron, także te z parametrami typu index.php?option=com_content, które Joomla generowała przez lata i które siedzą w wynikach wyszukiwania i w pismach.
2. Decyzja, co przenosimy, a co idzie do archiwum. Na piśmie, przed startem prac. Ogłoszenie o naborze z 2016 roku nie musi być podstroną, ale musi być dostępne, jeśli ktoś ma do niego link.
3. Struktura pod sprawy mieszkańca, nie pod schemat organizacyjny urzędu. Mieszkaniec szuka „odpady", nie „Referat Gospodarki Komunalnej".
4. Budowa z dostępnością w kodzie: semantyczny HTML, hierarchia nagłówków, obsługa klawiaturą, kontrasty, opisy alternatywne. Deklaracja dostępności powstaje razem ze stroną i opisuje stan faktyczny.
5. Przekierowania 301 ze wszystkich starych adresów na nowe, żeby nie zerwać linków w dokumentach i wynikach wyszukiwania.
6. Szkolenie redaktorów i przekazanie dostępów. Domena, hosting i konta administracyjne mają być na jednostkę, nie na prywatną skrzynkę byłego wykonawcy. Przy starych serwisach to zaskakująco często pierwszy realny problem do rozwiązania.
7. Wyłączenie starej instalacji. Częsty błąd: stara Joomla zostaje „na wszelki wypadek" pod subdomeną albo w podkatalogu. Dalej stoi w internecie, dalej ma te same luki i dalej jest wejściem na serwer. Po migracji zostaje kopia w archiwum, nie działająca instalacja.

Treści urzędowe pisze jednostka, bo to ona za nie odpowiada. My układamy strukturę, poprawiamy nagłówki i opisy pod czytelność i pilnujemy, żeby ważne informacje nie lądowały wyłącznie w skanach. Gotowe wdrożenia można obejrzeć w naszych realizacjach.

Zastrzeżenie: jesteśmy firmą wdrożeniową, nie kancelarią prawną ani jednostką audytującą. Ten wpis to praktyczny przewodnik, a nie porada prawna. Daty wsparcia Joomli i PHP podajemy za oficjalnymi harmonogramami projektów, treść przepisów za Dziennikiem Ustaw, stan na wrzesień 2026. Kwalifikację jednostki na gruncie ustawy o KSC i tryb zamówienia potwierdź z prawnikiem lub własną komórką zamówień.

Krótko na koniec

Strona na Joomli 3 albo 4 nie zepsuła się w dniu zakończenia wsparcia i nie zepsuje się jutro. Zepsuje się wtedy, gdy ktoś wykorzysta lukę, której nikt nie załata, albo gdy hosting wyłączy stare PHP. Sprawdź wersję jednym z trzech sposobów wyżej, zapisz wynik w analizie ryzyka i wybierz jedną z trzech dróg świadomie. Jeśli chcesz, żebyśmy przejrzeli serwis i powiedzieli, czy wystarczy aktualizacja, czy potrzebna jest przebudowa, prześlij nam adres. Taka wstępna ocena nic nie kosztuje.