Stručně: Zabezpečení WooCommerce po PHP2Shell závisí nejprve na PHP serveru, ne na pluginu e-shopu. E-shop uchovává data zákazníků, objednávky a přístupy k platebním službám, proto samotná záplata PHP nestačí. Zkontrolujte navíc kód pokladny, klíče REST API a webhooky.
Co PHP2Shell znamená pro e-shop na WooCommerce
WooCommerce je plugin pro WordPress a běží tedy na stejném PHP. Zranitelnosti CVE-2026-109618 a CVE-2026-109619 umožňují podle týmu PHP spuštění škodlivého kódu na dálku bez přihlášení. Pro e-shop je to vážnější než pro vizitkový web, protože je v sázce víc:
- jména, dodací a fakturační adresy, telefonní čísla a e-mailové adresy
- historie objednávek a zákaznické účty s hashi hesel
- klíče API a tajné údaje napojení na platby, dopravu a účetnictví, uložené v databázi
- soubory ke stažení u digitálních produktů ve složce
wp-content/uploads/woocommerce_uploads/
Údaje o kartách se u zapojených platebních formulářů poskytovatelů obvykle v e-shopu neukládají. Útočník s přístupem k serveru ale může JavaScript pokladny upravit tak, aby se zadané údaje před odesláním také četly. Obecné rady pro obchodníky najdete v článku IT bezpečnost pro e-shopy.
Zabezpečení WooCommerce začíná verzí PHP
V nabídce WooCommerce > Stav zobrazuje stav systému v sekci o prostředí serveru verzi PHP, se kterou e-shop skutečně běží. Opravené verze upstreamu jsou 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Poskytovatelé hostingu ale opravy často nasazují jako backport, pak zůstává zobrazené číslo staré. Spoléhejte proto na písemné potvrzení poskytovatele hostingu a na restart všech procesů PHP.
Které verze PHP vaše verze WooCommerce podporuje, ověříte podle systémových požadavků výrobce na woocommerce.com. Přechod na novější hlavní verzi PHP by měl proběhnout v testovacím prostředí, protože jinak mohou nepozorovaně přestat fungovat platební pluginy.
Kde útočníci u e-shopů na WooCommerce zasahují
Vedle známých úkrytů ve WordPressu existují místa typická pro e-shop:
- Přepsané šablony v motivu: složka
woocommerce/checkout/v aktivním motivu. Zde změněné soubory působí přímo na pokladnu a potvrzení objednávky. - Platební pluginy: změněné soubory v
wp-content/plugins/poskytovatele plateb. - Klíče REST API: v nabídce WooCommerce > Nastavení > Pokročilé > REST API. Cizí klíč s právem čtení nebo zápisu je zadní vrátka bez souboru.
- Webhooky: v nabídce Pokročilé > Webhooky. Neznámý webhook může každou novou objednávku posílat na cizí adresu.
- Role: nové účty s rolí „Správce obchodu“ nebo „Administrátor“.
- Protokoly:
wp-content/uploads/wc-logs/může obsahovat osobní údaje a neměl by být veřejně dostupný.
Neškodné kontroly na příkazové řádce:
# Vypsat administrátory a správce obchodu
wp user list --role=administrator
wp user list --role=shop_manager
# Zobrazit soubory PHP v motivu změněné od 17. 10. 2026
find wp-content/themes -name "*.php" -newermt "2026-10-17"
Záplata PHP nesmaže cizí klíč REST API ani vložený webhook. Oba fungují i po aktualizaci dál. Seznamy proto aktivně zkontrolujte a při podezření obnovte klíče API u svých poskytovatelů plateb.
Rozšíření a aktualizace e-shopu: co zvládnou a co ne
Typický e-shop na WooCommerce používá mnoho rozšíření: platební metody, přepravní štítky, tvorbu faktur, napojení na tržiště, pluginy pro hodnocení a marketing. Každé z nich je další kód s vlastními zranitelnostmi a často i s vlastními přístupy k externím službám. Udržujte seznam krátký a odstraňte testovací instalace starých platebních metod.
Aktualizace WooCommerce nebo WordPressu uzavře známé chyby v těchto komponentách. Neopraví PHP, neodstraní cizí soubory mimo složku pluginu a nesmaže záznamy v databázi, jako jsou klíče API nebo webhooky. Jak poznat, zda se už něco stalo, popisuje článek Jsem už kompromitován?.
Pokud aktualizace PHP u poskytovatele hostingu ještě čeká, může čas získat předřazený filtr. Záplatu nenahrazuje; více v části WAF a virtuální záplatování.
Povinnosti při incidentu v e-shopu
Pokud dojde ke ztrátě osobních údajů zákazníků, může být nutné oznámení dozorovému úřadu pro ochranu osobních údajů do 72 hodin. Jde o obecnou informaci, nikoli o právní poradenství. Brzy zapojte svého pověřence pro ochranu osobních údajů a přečtěte si náš přehled o oznamovací povinnosti podle GDPR. Dodržujte také pravidla svých poskytovatelů plateb pro bezpečnostní incidenty.
Po každém zásahu vyzkoušejte celý proces objednávky se všemi platebními metodami, které nabízíte. Dávejte pozor na neobvyklé mezikroky, dodatečná vstupní pole nebo přesměrování na cizí domény. Vývojářské nástroje prohlížeče ukazují, které skripty se načítají z jakých adres; neznámé zdroje na stránce pokladny jsou varovným signálem. Test zdokumentujte s datem a výsledkem.
Jak konkrétně pomáhá PHP SOS?
- S vaším poskytovatelem hostingu ujasníme stav záplat PHP a necháme si potvrdit restart všech procesů PHP.
- Zálohujeme logy, databázi a soubory dříve, než cokoli změníme.
- Kontrolujeme šablony pokladny, platební pluginy, klíče REST API, webhooky a uživatelské role.
- Při nálezech e-shop vyčistíme, spolu s vámi obnovíme přístupy a postup zdokumentujeme pro ochranu osobních údajů a pojišťovnu.
Časté dotazy
Jsou údaje o platebních kartách ve WooCommerce kvůli PHP2Shell ohroženy?
Záleží na tom, jak je zapojen poskytovatel plateb. Pokud se karty zadávají ve formuláři poskytovatele, obvykle v e-shopu uloženy nejsou. Útočník s přístupem k serveru ale může pokladnu upravit tak, aby se zadané údaje zachytily dříve.
Kde ve WooCommerce vidím verzi PHP?
V nabídce WooCommerce > Stav v sekci o prostředí serveru. Číslo ukazuje verzi, se kterou e-shop běží. Zda je nasazen backport, z něj nepoznáte; to musí potvrdit poskytovatel hostingu.
Proč bych měl kontrolovat webhooky WooCommerce?
Webhooky při událostech, například nové objednávce, posílají data na zadanou adresu. Skrytě vytvořený webhook může data objednávek trvale posílat třetím stranám, i když už bylo PHP záplatováno.
Musím při podezření informovat poskytovatele plateb?
Při opodstatněném podezření byste měli u poskytovatele obnovit klíče API a dodržet jeho pravidla pro bezpečnostní incidenty. Zda existují oznamovací povinnosti, ujasněte s pověřencem pro ochranu osobních údajů nebo s právníkem.