Εν συντομία: Η ασφάλεια του WooCommerce εξαρτάται μετά το PHP2Shell πρώτα από την PHP του διακομιστή και όχι από το plugin του shop. Ένα shop φιλοξενεί δεδομένα πελατών, παραγγελίες και προσβάσεις σε παρόχους πληρωμών, γι' αυτό το patch της PHP από μόνο του δεν αρκεί. Ελέγξτε επιπλέον τον κώδικα του checkout, τα κλειδιά REST API και τα webhooks.
Τι σημαίνει το PHP2Shell για ένα shop WooCommerce
Το WooCommerce είναι plugin για το WordPress και εκτελείται επομένως στην ίδια PHP. Οι ευπάθειες CVE-2026-109618 και CVE-2026-109619 επιτρέπουν, σύμφωνα με την ομάδα της PHP, εξ αποστάσεως εκτέλεση κακόβουλου κώδικα χωρίς σύνδεση. Για ένα shop αυτό είναι σοβαρότερο απ' ό,τι για μια σελίδα επαγγελματικής παρουσίασης, επειδή διακυβεύονται περισσότερα:
- Ονόματα, διευθύνσεις παράδοσης και τιμολόγησης, αριθμοί τηλεφώνου και διευθύνσεις email
- Ιστορικό παραγγελιών και λογαριασμοί πελατών με hashes κωδικών
- Κλειδιά API και μυστικά των συνδέσεων με παρόχους πληρωμών, αποστολών και λογιστικής, αποθηκευμένα στη βάση δεδομένων
- Λήψεις ψηφιακών προϊόντων στον φάκελο
wp-content/uploads/woocommerce_uploads/
Τα στοιχεία καρτών, στις ενσωματωμένες φόρμες πληρωμής των παρόχων, συνήθως δεν βρίσκονται στο shop. Ένας επιτιθέμενος με πρόσβαση στον διακομιστή μπορεί όμως να αλλάξει το JavaScript του checkout ώστε να διαβάζονται οι καταχωρίσεις πριν από την αποστολή. Γενικές υποδείξεις για εμπόρους θα βρείτε στο Ασφάλεια IT για ηλεκτρονικά καταστήματα.
Η ασφάλεια του WooCommerce ξεκινά από την έκδοση PHP
Στο WooCommerce > Κατάσταση η κατάσταση συστήματος δείχνει στην ενότητα για το περιβάλλον του διακομιστή την έκδοση PHP με την οποία εκτελείται πραγματικά το shop. Οι διορθωμένες εκδόσεις upstream είναι οι 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Οι πάροχοι φιλοξενίας όμως συχνά ενσωματώνουν τις διορθώσεις ως backport, οπότε ο εμφανιζόμενος αριθμός παραμένει παλιός. Βασιστείτε επομένως στη γραπτή επιβεβαίωση του παρόχου και στην επανεκκίνηση όλων των διεργασιών PHP.
Ποιες εκδόσεις PHP υποστηρίζει η έκδοση του WooCommerce σας, ελέγξτε σύμφωνα με τις απαιτήσεις συστήματος του κατασκευαστή στο woocommerce.com. Η μετάβαση σε νεότερη κύρια έκδοση PHP πρέπει να γίνεται σε περιβάλλον δοκιμών, επειδή αλλιώς τα plugins πληρωμών μπορεί να σταματήσουν να λειτουργούν απαρατήρητα.
Πού στοχεύουν οι επιτιθέμενοι στα shops WooCommerce
Εκτός από τις γνωστές κρυψώνες του WordPress υπάρχουν σημεία τυπικά για shops:
- Παρακάμψεις προτύπων στο theme: ο φάκελος
woocommerce/checkout/στο ενεργό theme. Αρχεία που αλλάζουν εδώ επηρεάζουν άμεσα το ταμείο και την επιβεβαίωση παραγγελίας. - Plugins πληρωμών: αλλαγμένα αρχεία στο
wp-content/plugins/του παρόχου πληρωμών. - Κλειδιά REST API: στο WooCommerce > Ρυθμίσεις > Για προχωρημένους > REST API. Ένα ξένο κλειδί με δικαιώματα ανάγνωσης ή εγγραφής είναι μια κερκόπορτα χωρίς αρχείο.
- Webhooks: στο Για προχωρημένους > Webhooks. Ένα άγνωστο webhook μπορεί να στέλνει κάθε νέα παραγγελία σε ξένη διεύθυνση.
- Ρόλοι: νέοι λογαριασμοί με ρόλο «Διαχειριστής καταστήματος» ή «Διαχειριστής».
- Αρχεία καταγραφής: ο φάκελος
wp-content/uploads/wc-logs/μπορεί να περιέχει προσωπικά δεδομένα και δεν πρέπει να είναι δημόσια προσβάσιμος.
Ακίνδυνοι έλεγχοι στη γραμμή εντολών:
# Εμφάνιση διαχειριστών και διαχειριστών καταστήματος
wp user list --role=administrator
wp user list --role=shop_manager
# Εμφάνιση των αρχείων PHP του theme που άλλαξαν από τις 17/10/2026
find wp-content/themes -name "*.php" -newermt "2026-10-17"
Ένα patch της PHP δεν διαγράφει ούτε ένα ξένο κλειδί REST API ούτε ένα webhook που έχει εισαχθεί. Και τα δύο συνεχίζουν να λειτουργούν και μετά την ενημέρωση. Ελέγξτε γι' αυτό ενεργά τις λίστες και, σε περίπτωση υποψίας, ανανεώστε τα κλειδιά API στους παρόχους πληρωμών σας.
Επεκτάσεις και ενημερώσεις του shop: τι προσφέρουν και τι όχι
Ένα τυπικό shop WooCommerce χρησιμοποιεί πολλές επεκτάσεις: τρόπους πληρωμής, ετικέτες αποστολής, έκδοση τιμολογίων, συνδέσεις με marketplaces, plugins αξιολογήσεων και μάρκετινγκ. Καθεμία είναι πρόσθετος κώδικας με δικές της ευπάθειες και συχνά με δικές της προσβάσεις σε εξωτερικές υπηρεσίες. Κρατήστε τη λίστα σύντομη και αφαιρέστε δοκιμαστικές εγκαταστάσεις παλιών τρόπων πληρωμής.
Μια ενημέρωση του WooCommerce ή του WordPress κλείνει γνωστά σφάλματα σε αυτά τα στοιχεία. Δεν επισκευάζει την PHP, δεν αφαιρεί ξένα αρχεία εκτός του φακέλου του plugin και δεν διαγράφει εγγραφές της βάσης δεδομένων, όπως κλειδιά API ή webhooks. Πώς θα καταλάβετε αν έχει ήδη συμβεί κάτι, περιγράφει το Έχω ήδη παραβιαστεί;.
Αν η ενημέρωση της PHP εκκρεμεί ακόμη στον πάροχο φιλοξενίας, ένα φίλτρο μπροστά από το shop μπορεί να κερδίσει χρόνο. Δεν αντικαθιστά το patch· περισσότερα στο WAF και εικονικό patching.
Υποχρεώσεις σε περίπτωση περιστατικού στο shop
Αν χαθούν προσωπικά δεδομένα πελατών, μπορεί να απαιτείται γνωστοποίηση στην αρχή προστασίας δεδομένων εντός 72 ωρών. Πρόκειται για γενική πληροφορία, όχι για νομική συμβουλή. Εμπλέξτε νωρίς τον υπεύθυνο προστασίας δεδομένων και διαβάστε την επισκόπησή μας για την υποχρέωση γνωστοποίησης βάσει ΓΚΠΔ. Λάβετε επίσης υπόψη τις οδηγίες των παρόχων πληρωμών σας για περιστατικά ασφαλείας.
Δοκιμάστε μετά από κάθε παρέμβαση μια πλήρη διαδικασία παραγγελίας με όλους τους τρόπους πληρωμής που προσφέρετε. Προσέξτε ασυνήθιστα ενδιάμεσα βήματα, πρόσθετα πεδία εισαγωγής ή ανακατευθύνσεις σε ξένα domains. Τα εργαλεία προγραμματιστή του περιηγητή δείχνουν ποια σενάρια φορτώνονται από ποιες διευθύνσεις· άγνωστες πηγές στη σελίδα του ταμείου αποτελούν προειδοποιητικό σημάδι. Τεκμηριώστε τη δοκιμή με ημερομηνία και αποτέλεσμα.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Διευκρινίζουμε με τον πάροχο φιλοξενίας σας το επίπεδο patch της PHP και ζητάμε επιβεβαίωση για την επανεκκίνηση όλων των διεργασιών PHP.
- Διασώζουμε logs, βάση δεδομένων και αρχεία προτού αλλάξουμε οτιδήποτε.
- Ελέγχουμε τα πρότυπα του checkout, τα plugins πληρωμών, τα κλειδιά REST API, τα webhooks και τους ρόλους χρηστών.
- Σε περίπτωση ευρημάτων καθαρίζουμε το shop, ανανεώνουμε μαζί σας τις προσβάσεις και τεκμηριώνουμε τη διαδικασία για την προστασία δεδομένων και την ασφαλιστική εταιρεία.
Συχνές ερωτήσεις
Κινδυνεύουν τα στοιχεία πιστωτικών καρτών στο WooCommerce από το PHP2Shell;
Εξαρτάται από τον τρόπο ενσωμάτωσης του παρόχου πληρωμών. Αν οι κάρτες καταχωρίζονται σε φόρμα του παρόχου, συνήθως δεν βρίσκονται στο shop. Ένας επιτιθέμενος με πρόσβαση στον διακομιστή μπορεί όμως να αλλάξει το checkout ώστε να υποκλέπτει τις καταχωρίσεις πριν αποσταλούν.
Πού βλέπω στο WooCommerce την έκδοση PHP;
Στο WooCommerce > Κατάσταση, στην ενότητα για το περιβάλλον του διακομιστή. Ο αριθμός δείχνει την έκδοση με την οποία εκτελείται το shop. Αν έχει εφαρμοστεί backport, δεν το καταλαβαίνετε από αυτόν· αυτό πρέπει να το επιβεβαιώσει ο πάροχος φιλοξενίας.
Γιατί να ελέγξω τα webhooks του WooCommerce;
Τα webhooks στέλνουν δεδομένα σε μια καταχωρισμένη διεύθυνση όταν συμβαίνουν γεγονότα όπως νέες παραγγελίες. Ένα webhook που δημιουργήθηκε κρυφά μπορεί να στέλνει μόνιμα δεδομένα παραγγελιών σε τρίτους, ακόμη και αφού εφαρμοστεί patch στην PHP.
Πρέπει να ενημερώσω τους παρόχους πληρωμών μετά από μια υποψία;
Σε περίπτωση βάσιμης υποψίας πρέπει να ανανεώσετε τα κλειδιά API στον πάροχο και να ακολουθήσετε τις οδηγίες του για περιστατικά ασφαλείας. Το αν υπάρχουν υποχρεώσεις γνωστοποίησης το διευκρινίζετε με τον υπεύθυνο προστασίας δεδομένων ή με δικηγόρο.