In breve: dopo PHP2Shell, la sicurezza di WooCommerce dipende anzitutto dal PHP del server, non dal plugin dello shop. Uno shop custodisce dati dei clienti, ordini e accessi ai fornitori di pagamento, perciò la sola patch di PHP non basta. Controlli inoltre il codice del checkout, le chiavi API REST e i webhook.
Che cosa significa PHP2Shell per uno shop WooCommerce
WooCommerce è un plugin per WordPress e gira quindi sullo stesso PHP. Le vulnerabilità CVE-2026-109618 e CVE-2026-109619 consentono, secondo il team PHP, di eseguire codice dannoso da remoto senza autenticazione. Per uno shop è più grave che per un sito vetrina, perché in gioco c'è di più:
- nomi, indirizzi di consegna e fatturazione, numeri di telefono e indirizzi e-mail
- storico degli ordini e account cliente con hash delle password
- chiavi API e segreti delle integrazioni con pagamenti, spedizioni e contabilità, memorizzati nel database
- download di prodotti digitali nella cartella
wp-content/uploads/woocommerce_uploads/
Con i moduli di pagamento integrati dei fornitori, i dati delle carte di solito non si trovano nello shop. Un aggressore con accesso al server può però modificare il JavaScript del checkout in modo che i dati inseriti vengano letti prima dell'invio. Indicazioni generali per i commercianti si trovano in Sicurezza IT per i negozi online.
La sicurezza di WooCommerce parte dalla versione di PHP
In WooCommerce > Stato, lo stato del sistema mostra nella sezione sull'ambiente del server la versione di PHP con cui lo shop gira davvero. Le versioni upstream corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Gli hoster però spesso applicano le correzioni come backport, e allora il numero visualizzato resta vecchio. Si affidi perciò alla conferma scritta dell'hoster e al riavvio di tutti i processi PHP.
Quali versioni di PHP supporta la Sua versione di WooCommerce, lo verifichi nei requisiti di sistema del produttore su woocommerce.com. Il passaggio a una versione principale di PHP più recente dovrebbe avvenire in un ambiente di test, perché altrimenti i plugin di pagamento potrebbero smettere di funzionare senza che ce ne si accorga.
Dove gli aggressori colpiscono negli shop WooCommerce
Oltre ai noti nascondigli di WordPress esistono punti tipici degli shop:
- Sovrascritture dei template nel tema: cartella
woocommerce/checkout/nel tema attivo. I file modificati qui agiscono direttamente su cassa e conferma d'ordine. - Plugin di pagamento: file modificati in
wp-content/plugins/del fornitore di pagamento. - Chiavi API REST: in WooCommerce > Impostazioni > Avanzate > REST API. Una chiave estranea con diritti di lettura o scrittura è una backdoor senza file.
- Webhook: in Avanzate > Webhook. Un webhook sconosciuto può inviare ogni nuovo ordine a un indirizzo estraneo.
- Ruoli: nuovi account con il ruolo «Shop manager» o «Amministratore».
- Log:
wp-content/uploads/wc-logs/può contenere dati personali e non dovrebbe essere accessibile pubblicamente.
Controlli non invasivi da riga di comando:
# Elencare amministratori e shop manager
wp user list --role=administrator
wp user list --role=shop_manager
# Mostrare i file PHP del tema modificati dal 17/10/2026
find wp-content/themes -name "*.php" -newermt "2026-10-17"
Una patch di PHP non elimina né una chiave API REST estranea né un webhook introdotto. Entrambi continuano a funzionare anche dopo l'aggiornamento. Controlli quindi attivamente gli elenchi e, in caso di sospetto, rinnovi le chiavi API presso i Suoi fornitori di pagamento.
Estensioni e aggiornamenti dello shop: che cosa fanno e che cosa no
Un tipico shop WooCommerce usa molte estensioni: metodi di pagamento, etichette di spedizione, emissione delle fatture, collegamenti ai marketplace, plugin per recensioni e marketing. Ognuna è codice aggiuntivo con vulnerabilità proprie e spesso con accessi propri a servizi esterni. Tenga l'elenco corto e rimuova le installazioni di prova di vecchi metodi di pagamento.
Un aggiornamento di WooCommerce o di WordPress chiude errori noti in questi componenti. Non ripara PHP, non rimuove file estranei al di fuori della cartella del plugin e non cancella voci del database come chiavi API o webhook. Come riconoscere se è già successo qualcosa è descritto in Sono già compromesso?.
Se l'aggiornamento di PHP presso l'hoster è ancora in sospeso, un filtro a monte può guadagnare tempo. Non sostituisce la patch; maggiori dettagli in WAF e virtual patching.
Obblighi in caso di incidente nello shop
Se vanno persi dati personali dei clienti, può essere necessaria una notifica all'autorità per la protezione dei dati entro 72 ore. È un'informazione generale, non una consulenza legale. Coinvolga presto il Suo responsabile della protezione dei dati e legga la nostra panoramica sull'obbligo di notifica GDPR. Rispetti inoltre le disposizioni dei Suoi fornitori di pagamento per gli incidenti di sicurezza.
Dopo ogni intervento provi un intero processo d'ordine con tutti i metodi di pagamento che offre. Faccia attenzione a passaggi intermedi insoliti, campi di inserimento aggiuntivi o reindirizzamenti verso domini estranei. Gli strumenti per sviluppatori del browser mostrano quali script vengono caricati da quali indirizzi; fonti sconosciute nella pagina della cassa sono un segnale d'allarme. Documenti il test con data ed esito.
In che modo PHP SOS aiuta concretamente?
- Chiariamo con il Suo hoster lo stato delle patch di PHP e ci facciamo confermare il riavvio di tutti i processi PHP.
- Mettiamo al sicuro log, database e file prima di modificare qualcosa.
- Controlliamo template del checkout, plugin di pagamento, chiavi API REST, webhook e ruoli degli utenti.
- In caso di riscontri bonifichiamo lo shop, rinnoviamo insieme a Lei gli accessi e documentiamo lo svolgimento per la protezione dei dati e l'assicurazione.
Domande frequenti
I dati delle carte di credito in WooCommerce sono a rischio a causa di PHP2Shell?
Dipende da come è integrato il fornitore di pagamento. Se le carte vengono raccolte in un modulo del fornitore, di solito non si trovano nello shop. Un aggressore con accesso al server può però modificare il checkout in modo da intercettare i dati prima dell'invio.
Dove vedo la versione di PHP in WooCommerce?
In WooCommerce > Stato, nella sezione sull'ambiente del server. Il numero indica la versione con cui gira lo shop. Da esso non si capisce se sia stato applicato un backport; deve confermarlo l'hoster.
Perché dovrei controllare i webhook di WooCommerce?
I webhook inviano dati a un indirizzo registrato in occasione di eventi come i nuovi ordini. Un webhook creato di nascosto può continuare a inviare a terzi i dati degli ordini, anche dopo che PHP è stato aggiornato.
In caso di sospetto devo informare i fornitori di pagamento?
In presenza di un sospetto fondato dovrebbe rinnovare le chiavi API presso il fornitore e rispettare le sue disposizioni per gli incidenti di sicurezza. Se esistano obblighi di notifica, lo chiarisca con il Suo responsabile della protezione dei dati o con un avvocato.