Kort sagt: WooCommerce-sikkerhed afhænger efter PHP2Shell først og fremmest af serverens PHP, ikke af shop-pluginet. En shop rummer kundedata, ordrer og adgange til betalingsudbydere, derfor er PHP-rettelsen alene ikke nok. Kontrollér desuden checkout-koden, REST API-nøgler og webhooks.
Hvad PHP2Shell betyder for en WooCommerce-shop
WooCommerce er et plugin til WordPress og kører dermed på det samme PHP. Sårbarhederne CVE-2026-109618 og CVE-2026-109619 gør det ifølge PHP-teamet muligt at køre skadelig kode på afstand uden login. For en shop er det alvorligere end for et visitkort-website, fordi der er mere på spil:
- Navne, leverings- og faktureringsadresser, telefonnumre og e-mailadresser
- Ordrehistorik og kundekonti med adgangskode-hashes
- API-nøgler og hemmeligheder til betalings-, forsendelses- og regnskabsintegrationer, gemt i databasen
- Downloads af digitale produkter i mappen
wp-content/uploads/woocommerce_uploads/
Kortdata ligger ved integrerede betalingsformularer fra udbyderne som regel ikke i shoppen. En angriber med serveradgang kan dog ændre checkout-JavaScriptet, så indtastninger læses med, før de sendes af sted. Generelle råd til forhandlere finder I under IT-sikkerhed for onlineshops.
WooCommerce-sikkerhed begynder ved PHP-versionen
Under WooCommerce > Status viser systemstatus i afsnittet om servermiljøet den PHP-version, som shoppen faktisk kører med. Rettede upstream-versioner er 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Hostingudbydere indspiller dog ofte rettelser som backport, og så forbliver det viste nummer gammelt. Stol derfor på hostingudbyderens skriftlige bekræftelse og på genstarten af alle PHP-processer.
Hvilke PHP-versioner jeres WooCommerce-version understøtter, kontrollerer I ifølge producentens systemkrav på woocommerce.com. Et skifte til en nyere PHP-hovedversion bør ske i et testmiljø, fordi betalings-plugins ellers kan falde ud uden at blive bemærket.
Hvor angribere sætter ind i WooCommerce-shops
Ud over de kendte WordPress-skjulesteder findes der shoptypiske steder:
- Skabelon-overskrivninger i temaet: mappen
woocommerce/checkout/i det aktive tema. Filer, der er ændret her, virker direkte på kassen og ordrebekræftelsen. - Betalings-plugins: ændrede filer i betalingsudbyderens mappe under
wp-content/plugins/. - REST API-nøgler: under WooCommerce > Indstillinger > Avanceret > REST API. En fremmed nøgle med læse- eller skriverettigheder er en bagdør uden fil.
- Webhooks: under Avanceret > Webhooks. En ukendt webhook kan sende hver ny ordre til en fremmed adresse.
- Roller: nye konti med rollen "Shopadministrator" eller "Administrator".
- Logfiler:
wp-content/uploads/wc-logs/kan indeholde personoplysninger og bør ikke kunne hentes offentligt.
Ufarlige kontroller på kommandolinjen:
# List administratorer og shopadministratorer
wp user list --role=administrator
wp user list --role=shop_manager
# Vis PHP-filer i temaet, der er ændret siden 17.10.2026
find wp-content/themes -name "*.php" -newermt "2026-10-17"
En PHP-rettelse sletter hverken en fremmed REST API-nøgle eller en indsmuglet webhook. Begge fortsætter med at virke efter opdateringen. Gennemgå derfor listerne aktivt, og få ved mistanke API-nøglerne fornyet hos jeres betalingsudbydere.
Udvidelser og shopopdateringer: hvad de kan, og hvad de ikke kan
En typisk WooCommerce-shop bruger mange udvidelser: betalingsmetoder, forsendelsesetiketter, fakturering, markedspladsintegrationer, anmeldelses- og marketing-plugins. Hver af dem er yderligere kode med egne sårbarheder og ofte med egne adgange til eksterne tjenester. Hold listen kort, og fjern testinstallationer af gamle betalingsmetoder.
En opdatering af WooCommerce eller WordPress lukker kendte fejl i disse komponenter. Den reparerer ikke PHP, fjerner ikke fremmede filer uden for plugin-mappen og sletter ikke databaseposter som API-nøgler eller webhooks. Hvordan I kan se, om der allerede er sket noget, beskriver Er jeg allerede kompromitteret?.
Hvis PHP-opdateringen hos hostingudbyderen endnu udestår, kan et forudgående filter give tid. Det erstatter ikke rettelsen; læs mere under WAF og virtuel patching.
Forpligtelser ved en hændelse i shoppen
Går kunders personoplysninger tabt, kan en anmeldelse til tilsynsmyndigheden for databeskyttelse inden for 72 timer være nødvendig. Det er generel information, ingen juridisk rådgivning. Inddrag tidligt jeres databeskyttelsesrådgiver, og læs vores oversigt over GDPR-anmeldelsespligten. Vær desuden opmærksom på jeres betalingsudbyderes regler for sikkerhedshændelser.
Test efter hvert indgreb en fuldstændig bestillingsproces med alle de betalingsmetoder, I tilbyder. Hold øje med usædvanlige mellemtrin, ekstra indtastningsfelter eller omdirigeringer til fremmede domæner. Browserens udviklerværktøjer viser, hvilke scripts der indlæses fra hvilke adresser; ukendte kilder på kassesiden er et advarselstegn. Dokumentér testen med dato og resultat.
Hvordan hjælper PHP SOS konkret?
- Vi afklarer PHP-patch-status sammen med jeres hostingudbyder og lader genstarten af alle PHP-processer bekræfte.
- Vi sikrer logs, database og filer, før vi ændrer noget.
- Vi kontrollerer checkout-skabeloner, betalings-plugins, REST API-nøgler, webhooks og brugerroller.
- Ved fund renser vi shoppen, fornyer adgange sammen med jer og dokumenterer forløbet til databeskyttelsen og forsikringen.
Ofte stillede spørgsmål
Er kreditkortdata i WooCommerce i fare på grund af PHP2Shell?
Det afhænger af, hvordan betalingsudbyderen er integreret. Hvis kort registreres i udbyderens formular, ligger de som regel ikke i shoppen. En angriber med adgang til serveren kan dog ændre checkout, så indtastninger opsnappes på forhånd.
Hvor ser jeg PHP-versionen i WooCommerce?
Under WooCommerce > Status i afsnittet om servermiljøet. Nummeret viser den version, som shoppen kører med. Om en backport er indspillet, kan I ikke se heraf; det skal hostingudbyderen bekræfte.
Hvorfor bør jeg kontrollere WooCommerce-webhooks?
Webhooks sender ved hændelser som nye ordrer data til en indtastet adresse. En i det skjulte oprettet webhook kan varigt sende ordredata til tredjeparter, også efter at PHP er blevet patchet.
Skal jeg underrette betalingsudbyderne ved mistanke?
Ved en begrundet mistanke bør I få API-nøglerne fornyet hos udbyderen og følge dennes regler for sikkerhedshændelser. Om der består anmeldelsespligter, afklarer I med jeres databeskyttelsesrådgiver eller advokat.