Накратко: Сигурността на WooCommerce след PHP2Shell зависи най-напред от PHP на сървъра, а не от плъгина на магазина. Магазинът съхранява данни на клиенти, поръчки и достъпи до платежни доставчици, затова само пачът за PHP не е достатъчен. Проверете допълнително кода на плащането, ключовете на REST API и webhooks.
Какво означава PHP2Shell за магазин с WooCommerce
WooCommerce е плъгин за WordPress и затова работи на същия PHP. Уязвимостите CVE-2026-109618 и CVE-2026-109619 позволяват според екипа на PHP изпълнение на злонамерен код от разстояние без вход в системата. За магазин това е по-сериозно, отколкото за сайт-визитка, защото на карта има повече:
- имена, адреси за доставка и фактуриране, телефонни номера и имейл адреси
- история на поръчките и клиентски акаунти с хеш стойности на паролите
- API ключове и тайни на интеграциите с платежни, куриерски и счетоводни доставчици, съхранени в базата данни
- файлове за изтегляне на дигитални продукти в папката
wp-content/uploads/woocommerce_uploads/
Данните на карти при вградени платежни формуляри на доставчиците обикновено не се намират в магазина. Нападател с достъп до сървъра обаче може да промени JavaScript на плащането така, че въведеното да се прочете преди изпращане. Общи насоки за търговци ще намерите на страницата ИТ сигурност за онлайн магазини.
Сигурността на WooCommerce започва от версията на PHP
Под WooCommerce > Състояние системният статус показва в раздела за сървърната среда версията на PHP, с която магазинът реално работи. Поправените версии на оригиналния проект са 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Хостинг доставчиците обаче често внасят корекциите като backport, тогава показаният номер остава стар. Затова разчитайте на писменото потвърждение на хостинг доставчика и на рестартирането на всички PHP процеси.
Кои версии на PHP поддържа Вашата версия на WooCommerce, проверете според системните изисквания на производителя на woocommerce.com. Преминаването към по-нова основна версия на PHP трябва да се прави в тестова среда, защото иначе платежни плъгини могат да спрат незабелязано.
Откъде нападателите тръгват в WooCommerce магазини
Освен известните скривалища в WordPress има типични за магазините места:
- Презаписани шаблони в темата: папка
woocommerce/checkout/в активната тема. Променените тук файлове действат директно върху касата и потвърждението на поръчката. - Платежни плъгини: променени файлове в
wp-content/plugins/на платежния доставчик. - Ключове на REST API: под WooCommerce > Настройки > Разширени > REST API. Чужд ключ с права за четене или запис е задна вратичка без файл.
- Webhooks: под Разширени > Webhooks. Непознат webhook може да изпраща всяка нова поръчка на чужд адрес.
- Роли: нови акаунти с ролята „Мениджър на магазина“ или „Администратор“.
- Протоколи:
wp-content/uploads/wc-logs/може да съдържа лични данни и не бива да е публично достъпна.
Безопасни проверки в командния ред:
# Списък на администраторите и мениджърите на магазина
wp user list --role=administrator
wp user list --role=shop_manager
# Показване на PHP файловете в темата, променени от 17.10.2026 г.
find wp-content/themes -name "*.php" -newermt "2026-10-17"
Пачът за PHP не изтрива нито чужд ключ на REST API, нито внедрен webhook. И двата продължават да работят и след актуализацията. Затова проверете списъците активно и при подозрение подновете API ключовете при Вашите платежни доставчици.
Разширения и актуализации на магазина: какво постигат и какво не
Типичният WooCommerce магазин ползва много разширения: начини на плащане, куриерски етикети, издаване на фактури, интеграции с пазари, плъгини за оценки и маркетинг. Всяко от тях е допълнителен код със собствени уязвимости и често със собствени достъпи до външни услуги. Дръжте списъка кратък и премахнете тестовите инсталации на стари начини на плащане.
Актуализацията на WooCommerce или WordPress затваря известни грешки в тези компоненти. Тя не поправя PHP, не премахва чужди файлове извън папката на плъгина и не изтрива записи в базата данни като API ключове или webhooks. Как да разберете дали вече нещо се е случило, описва страницата Вече компрометиран ли съм?.
Ако актуализацията на PHP при хостинг доставчика още не е направена, филтър пред уебсайта може да спечели време. Той не заменя пача; повече за това на страницата WAF и виртуално пачване.
Задължения при инцидент в магазина
Ако лични данни на клиенти бъдат изгубени, може да е необходимо уведомяване на надзорния орган по защита на данните в рамките на 72 часа. Това е обща информация, а не правна консултация. Включете рано Вашето длъжностно лице по защита на данните и прочетете нашия преглед на задължението за уведомяване по ОРЗД. Спазвайте освен това изискванията на Вашите платежни доставчици за инциденти със сигурността.
След всяка намеса тествайте цялостен процес на поръчка с всички начини на плащане, които предлагате. Обърнете внимание на необичайни междинни стъпки, допълнителни полета за въвеждане или пренасочвания към чужди домейни. Инструментите за разработчици на браузъра показват кои скриптове от кои адреси се зареждат; непознати източници на страницата на касата са предупредителен знак. Документирайте теста с дата и резултат.
Как помага PHP SOS конкретно?
- С Вашия хостинг доставчик изясняваме състоянието на пача на PHP и получаваме потвърждение за рестартирането на всички PHP процеси.
- Запазваме логове, база данни и файлове, преди да променим каквото и да било.
- Проверяваме шаблоните на плащането, платежните плъгини, ключовете на REST API, webhooks и потребителските роли.
- При находки почистваме магазина, подновяваме заедно с Вас достъпите и документираме хода за защитата на данните и за застраховката.
Често задавани въпроси
Застрашени ли са данните на кредитни карти в WooCommerce от PHP2Shell?
Зависи от начина, по който е интегриран платежният доставчик. Ако картите се въвеждат във формуляр на доставчика, те обикновено не се намират в магазина. Нападател с достъп до сървъра обаче може да промени плащането така, че въведеното да бъде прихванато предварително.
Къде виждам версията на PHP в WooCommerce?
В WooCommerce > Състояние, в раздела за сървърната среда. Номерът показва версията, с която работи магазинът. Дали е внесен backport, по него не се вижда; това трябва да потвърди хостинг доставчикът.
Защо да проверя webhooks на WooCommerce?
При събития като нови поръчки webhooks изпращат данни на въведен адрес. Тайно създаден webhook може да изпраща данни за поръчки на трети лица постоянно, дори след като PHP е пачнат.
Трябва ли при подозрение да уведомя платежните доставчици?
При основателно подозрение подновете API ключовете при доставчика и спазвайте неговите правила за инциденти със сигурността. Дали съществуват задължения за уведомяване, изяснете с Вашето длъжностно лице по защита на данните или с адвокат.