Ukratko: WooCommerce sigurnost nakon PHP2Shella ponajprije ovisi o PHP-u poslužitelja, a ne o dodatku shopa. Shop čuva podatke kupaca, narudžbe i pristupe pružateljima plaćanja, pa sama PHP zakrpa nije dovoljna. Dodatno provjerite kôd checkouta, ključeve REST API-ja i webhookove.
Što PHP2Shell znači za WooCommerce shop
WooCommerce je dodatak za WordPress i stoga radi na istom PHP-u. Ranjivosti CVE-2026-109618 i CVE-2026-109619 prema PHP timu omogućuju zlonamjerni kôd na daljinu bez prijave. Za shop je to ozbiljnije nego za web-stranicu s vizitkom jer je više na kocki:
- imena, adrese za dostavu i račune, telefonski brojevi i e-adrese
- povijest narudžbi i korisnički računi s hashevima lozinki
- API ključevi i tajne integracija plaćanja, dostave i računovodstva, pohranjeni u bazi podataka
- preuzimanja digitalnih proizvoda u mapi
wp-content/uploads/woocommerce_uploads/
Podaci o karticama kod ugrađenih obrazaca za plaćanje pružatelja uglavnom nisu u shopu. Napadač s pristupom poslužitelju može, međutim, izmijeniti JavaScript checkouta tako da se unosi čitaju prije slanja. Opće napomene za trgovce naći ćete na stranici IT sigurnost za web-shopove.
WooCommerce sigurnost počinje kod verzije PHP-a
Pod WooCommerce > Status status sustava u odjeljku o okruženju poslužitelja prikazuje verziju PHP-a s kojom shop stvarno radi. Ispravljene upstream verzije su 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Pružatelji hostinga ispravke ipak često ugrađuju kao backport, pa prikazani broj ostaje star. Zato se oslonite na pisanu potvrdu pružatelja hostinga i na ponovno pokretanje svih PHP procesa.
Koje PHP verzije podržava Vaša verzija WooCommercea, provjerite prema sistemskim zahtjevima proizvođača na woocommerce.com. Prelazak na noviju glavnu verziju PHP-a trebao bi se obaviti u testnom okruženju jer inače dodaci za plaćanje mogu neprimjetno prestati raditi.
Gdje napadači ciljaju u WooCommerce shopovima
Uz poznata WordPress skrovišta postoje i mjesta tipična za shop:
- Nadjačavanja predložaka u temi: mapa
woocommerce/checkout/u aktivnoj temi. Ovdje izmijenjene datoteke djeluju izravno na blagajnu i potvrdu narudžbe. - Dodaci za plaćanje: izmijenjene datoteke u
wp-content/plugins/pružatelja plaćanja. - Ključevi REST API-ja: pod WooCommerce > Postavke > Napredno > REST API. Strani ključ s pravima čitanja ili pisanja stražnja su vrata bez datoteke.
- Webhookovi: pod Napredno > Webhookovi. Nepoznati webhook može svaku novu narudžbu slati na stranu adresu.
- Uloge: novi računi s ulogom „Upravitelj shopa“ ili „Administrator“.
- Zapisnici:
wp-content/uploads/wc-logs/može sadržavati osobne podatke i ne bi smio biti javno dostupan.
Neopasne provjere u naredbenom retku:
# Ispis administratora i upravitelja shopa
wp user list --role=administrator
wp user list --role=shop_manager
# Prikaz PHP datoteka u temi izmijenjenih od 17.10.2026
find wp-content/themes -name "*.php" -newermt "2026-10-17"
PHP zakrpa ne briše strani ključ REST API-ja niti ubačeni webhook. Oba nastavljaju raditi i nakon ažuriranja. Zato aktivno pregledajte popise, a kod sumnje obnovite API ključeve kod svojih pružatelja plaćanja.
Proširenja i ažuriranja shopa: što postižu, a što ne
Tipičan WooCommerce shop koristi mnogo proširenja: načine plaćanja, naljepnice za dostavu, izradu računa, povezivanje s tržnicama, dodatke za recenzije i marketing. Svako od njih dodatni je kôd s vlastitim ranjivostima i često s vlastitim pristupima vanjskim uslugama. Držite popis kratkim i uklonite testne instalacije starih načina plaćanja.
Ažuriranje WooCommercea ili WordPressa zatvara poznate pogreške u tim komponentama. Ne popravlja PHP, ne uklanja strane datoteke izvan mape dodatka i ne briše unose u bazi podataka poput API ključeva ili webhookova. Kako prepoznati je li se već nešto dogodilo, opisuje članak Jesam li već kompromitiran?.
Ako PHP ažuriranje kod pružatelja hostinga još čeka, prethodno postavljen filtar može dobiti vremena. On ne zamjenjuje zakrpu; više o tome na stranici WAF i virtualno zakrpanje.
Obveze pri incidentu u shopu
Ako se izgube osobni podaci kupaca, može biti potrebna prijava nadzornom tijelu za zaštitu podataka u roku od 72 sata. To je opća informacija, a ne pravni savjet. Rano uključite svog službenika za zaštitu podataka i pročitajte naš pregled obveze prijave prema GDPR-u. Uz to poštujte upute svojih pružatelja plaćanja za sigurnosne incidente.
Nakon svakog zahvata testirajte cjelokupan postupak narudžbe sa svim načinima plaćanja koje nudite. Pazite na neuobičajene međukorake, dodatna polja za unos ili preusmjeravanja na strane domene. Razvojni alati preglednika pokazuju koje se skripte učitavaju s kojih adresa; nepoznati izvori na stranici blagajne znak su upozorenja. Test dokumentirajte datumom i rezultatom.
Kako PHP SOS konkretno pomaže?
- S Vašim pružateljem hostinga razjašnjavamo stanje PHP zakrpe i dajemo potvrditi ponovno pokretanje svih PHP procesa.
- Osiguravamo logove, bazu podataka i datoteke prije nego što išta promijenimo.
- Provjeravamo predloške checkouta, dodatke za plaćanje, ključeve REST API-ja, webhookove i korisničke uloge.
- Kod nalaza čistimo shop, s Vama obnavljamo pristupe i dokumentiramo tijek za zaštitu podataka i osiguranje.
Česta pitanja
Jesu li podaci o kreditnim karticama u WooCommerceu ugroženi zbog PHP2Shella?
To ovisi o načinu integracije pružatelja plaćanja. Ako se kartice unose u obrazac pružatelja, uglavnom nisu pohranjene u shopu. No napadač s pristupom poslužitelju može izmijeniti checkout tako da se unosi presretnu prije slanja.
Gdje u WooCommerceu vidim verziju PHP-a?
Pod WooCommerce > Status u odjeljku o okruženju poslužitelja. Broj prikazuje verziju s kojom shop radi. Je li ugrađen backport, iz toga se ne vidi; to mora potvrditi pružatelj hostinga.
Zašto bih trebao provjeriti WooCommerce webhookove?
Webhookovi pri događajima poput novih narudžbi šalju podatke na unesenu adresu. Potajno kreiran webhook može trajno slati podatke o narudžbama trećima, čak i nakon što je PHP zakrpan.
Moram li nakon sumnje obavijestiti pružatelje plaćanja?
Kod osnovane sumnje trebali biste kod pružatelja obnoviti API ključeve i poštovati njegove upute za sigurnosne incidente. Postoje li obveze prijave, razjasnite sa svojim službenikom za zaštitu podataka ili odvjetnikom.