Lyhyesti: WooCommercen tietoturva riippuu PHP2Shellin jälkeen ensin palvelimen PHP:stä, ei kaupan liitännäisestä. Verkkokaupassa on asiakastietoja, tilauksia ja pääsy maksupalveluihin, joten PHP-korjaus ei yksin riitä. Tarkistakaa lisäksi kassan koodi, REST-API-avaimet ja webhookit.
Mitä PHP2Shell tarkoittaa WooCommerce-kaupalle
WooCommerce on WordPressin liitännäinen ja toimii siis samalla PHP:llä. PHP-tiimin mukaan haavoittuvuudet CVE-2026-109618 ja CVE-2026-109619 sallivat haittakoodin suorittamisen etänä ilman kirjautumista. Verkkokaupalle tämä on vakavampaa kuin esittelysivustolle, koska pelissä on enemmän:
- Nimet, toimitus- ja laskutusosoitteet, puhelinnumerot ja sähköpostiosoitteet
- Tilaushistoria ja asiakastilit salasanatiivisteineen
- Maksu-, toimitus- ja kirjanpitoliittymien API-avaimet ja salaisuudet, jotka on tallennettu tietokantaan
- Digitaalisten tuotteiden lataukset kansiossa
wp-content/uploads/woocommerce_uploads/
Kun maksupalvelun oma maksulomake on upotettu sivulle, korttitiedot eivät yleensä ole kaupassa. Palvelimelle päässyt hyökkääjä voi silti muuttaa kassan JavaScriptiä niin, että syötteet luetaan jo ennen lähettämistä. Yleisiä neuvoja kauppiaille on sivulla Verkkokauppojen tietoturva.
WooCommercen tietoturva alkaa PHP-versiosta
Kohdassa WooCommerce > Tila järjestelmätila näyttää palvelinympäristön osiossa PHP-version, jolla kauppa todella toimii. Korjatut upstream-versiot ovat 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Hosting-yritykset tuovat korjauksia kuitenkin usein backporttina, jolloin näytetty numero pysyy vanhana. Luottakaa siksi palveluntarjoajan kirjalliseen vahvistukseen ja kaikkien PHP-prosessien uudelleenkäynnistykseen.
Mitä PHP-versioita teidän WooCommerce-versionne tukee, tarkistatte valmistajan järjestelmävaatimuksista osoitteessa woocommerce.com. Siirtyminen uudempaan PHP-pääversioon kannattaa tehdä testiympäristössä, koska maksuliitännäiset voivat muuten lakata toimimasta huomaamatta.
Mistä hyökkääjät aloittavat WooCommerce-kaupoissa
WordPressin tunnettujen piilopaikkojen lisäksi on kaupalle tyypillisiä kohtia:
- Teeman mallien ylikirjoitukset: aktiivisen teeman kansio
woocommerce/checkout/. Täällä muutetut tiedostot vaikuttavat suoraan kassaan ja tilausvahvistukseen. - Maksuliitännäiset: maksupalvelun muuttuneet tiedostot hakemistossa
wp-content/plugins/. - REST-API-avaimet: kohdassa WooCommerce > Asetukset > Lisäasetukset > REST-API. Vieras avain, jolla on luku- tai kirjoitusoikeus, on takaovi ilman tiedostoa.
- Webhookit: kohdassa Lisäasetukset > Webhookit. Tuntematon webhook voi lähettää jokaisen uuden tilauksen vieraaseen osoitteeseen.
- Roolit: uudet tilit, joilla on rooli ”Kaupanhoitaja” tai ”Ylläpitäjä”.
- Lokit:
wp-content/uploads/wc-logs/voi sisältää henkilötietoja, eikä sen pidä olla julkisesti avattavissa.
Vaarattomat tarkistukset komentorivillä:
# Listataan ylläpitäjät ja kaupanhoitajat
wp user list --role=administrator
wp user list --role=shop_manager
# Näytetään teeman PHP-tiedostot, jotka ovat muuttuneet 17.10.2026 jälkeen
find wp-content/themes -name "*.php" -newermt "2026-10-17"
PHP-korjaus ei poista vierasta REST-API-avainta eikä sisään ujutettua webhookia. Molemmat toimivat päivityksen jälkeenkin. Käykää luettelot siksi aktiivisesti läpi ja uusikaa epäilyn yhteydessä API-avaimet maksupalveluntarjoajiltanne.
Laajennukset ja kaupan päivitykset: mitä ne tekevät ja mitä eivät
Tyypillisessä WooCommerce-kaupassa on monta laajennusta: maksutavat, rahtilappujen luonti, laskutus, kauppapaikkaliitännät, arvostelu- ja markkinointiliitännäiset. Jokainen niistä on lisäkoodia omine aukkoineen ja usein omine yhteyksineen ulkoisiin palveluihin. Pitäkää luettelo lyhyenä ja poistakaa vanhojen maksutapojen testiasennukset.
WooCommercen tai WordPressin päivitys sulkee näiden osien tunnetut virheet. Se ei korjaa PHP:tä, ei poista vieraita tiedostoja liitännäiskansion ulkopuolelta eikä poista tietokantamerkintöjä, kuten API-avaimia tai webhookeja. Miten tunnistatte, onko jo tapahtunut jotain, kuvataan sivulla Olenko jo vaarantunut?.
Jos palveluntarjoajan PHP-päivitys on vielä kesken, edelle asetettu suodatin voi ostaa aikaa. Se ei korvaa korjausta; lisää aiheesta sivulla WAF ja virtuaalikorjaus.
Velvollisuudet kaupan tietoturvapoikkeamassa
Jos asiakkaiden henkilötietoja joutuu vääriin käsiin, tietosuojaviranomaiselle voi olla tarpeen tehdä ilmoitus 72 tunnin kuluessa. Tämä on yleistä tietoa eikä oikeudellista neuvontaa. Ottakaa tietosuojavastaavanne mukaan ajoissa ja lukekaa yleiskatsauksemme GDPR:n ilmoitusvelvollisuudesta. Huomioikaa lisäksi maksupalveluntarjoajienne ohjeet tietoturvapoikkeamista.
Testatkaa jokaisen toimenpiteen jälkeen koko tilausprosessi kaikilla tarjoamillanne maksutavoilla. Kiinnittäkää huomiota epätavallisiin välivaiheisiin, ylimääräisiin syöttökenttiin tai uudelleenohjauksiin vieraisiin verkkotunnuksiin. Selaimen kehittäjätyökalut näyttävät, mitkä skriptit ladataan miltä osoitteilta; tuntemattomat lähteet kassasivulla ovat varoitusmerkki. Dokumentoikaa testi päivämäärineen ja tuloksineen.
Miten PHP SOS auttaa konkreettisesti?
- Selvitämme hosting-palveluntarjoajanne kanssa PHP:n korjaustilan ja varmennamme kaikkien PHP-prosessien uudelleenkäynnistyksen.
- Varmuuskopioimme lokit, tietokannan ja tiedostot ennen muutoksia.
- Tarkistamme kassan mallipohjat, maksuliitännäiset, REST-API-avaimet, webhookit ja käyttäjäroolit.
- Löydösten yhteydessä puhdistamme kaupan, uusimme yhteydet kanssanne ja dokumentoimme kulun tietosuojaa ja vakuutusta varten.
Usein kysytyt kysymykset
Ovatko luottokorttitiedot WooCommercessa vaarassa PHP2Shellin takia?
Se riippuu maksupalvelun liitännästä. Jos kortti syötetään palveluntarjoajan lomakkeelle, tiedot eivät yleensä ole kaupassa. Palvelimelle päässyt hyökkääjä voi kuitenkin muuttaa kassaa niin, että syötteet kaapataan jo ennen lähetystä.
Mistä näen WooCommercessa PHP-version?
Kohdasta WooCommerce > Tila, palvelinympäristön osiosta. Numero kertoo version, jolla kauppa toimii. Siitä ei näe, onko backport asennettu; sen vahvistaa hosting-palveluntarjoaja.
Miksi WooCommercen webhookit kannattaa tarkistaa?
Webhookit lähettävät tapahtumista, kuten uusista tilauksista, tietoja rekisteröityyn osoitteeseen. Salaa luotu webhook voi lähettää tilaustietoja kolmansille pysyvästi myös sen jälkeen, kun PHP on korjattu.
Pitääkö maksupalveluntarjoajille ilmoittaa epäilyn jälkeen?
Perustellun epäilyn tapauksessa API-avaimet kannattaa uusia palveluntarjoajan kautta ja noudattaa sen tietoturvapoikkeamia koskevia ohjeita. Mahdolliset ilmoitusvelvollisuudet selvitätte tietosuojavastaavanne tai lakimiehenne kanssa.