Trumpai: Po PHP2Shell WooCommerce saugumas pirmiausia priklauso nuo serverio PHP, o ne nuo parduotuvės įskiepio. Parduotuvėje laikomi klientų duomenys, užsakymai ir prieigos prie mokėjimo paslaugų teikėjų, todėl vien PHP pataisos nepakanka. Papildomai patikrinkite atsiskaitymo kodą, REST API raktus ir webhook'us.
Ką PHP2Shell reiškia WooCommerce parduotuvei
WooCommerce yra WordPress įskiepis, todėl veikia tame pačiame PHP. PHP komandos teigimu, spragos CVE-2026-109618 ir CVE-2026-109619 leidžia vykdyti kenkėjišką kodą nuotoliniu būdu be prisijungimo. Parduotuvei tai rimčiau nei vizitinės kortelės svetainei, nes statoma daugiau:
- vardai, pristatymo ir sąskaitų adresai, telefono numeriai ir el. pašto adresai
- užsakymų istorija ir klientų paskyros su slaptažodžių maišos reikšmėmis (hash)
- mokėjimo, siuntimo ir apskaitos integracijų API raktai ir paslaptys, saugomi duomenų bazėje
- skaitmeninių produktų atsisiuntimai aplanke
wp-content/uploads/woocommerce_uploads/
Kai naudojamos teikėjų mokėjimo formos, kortelių duomenys dažniausiai parduotuvėje nesaugomi. Tačiau užpuolikas, turintis prieigą prie serverio, gali pakeisti atsiskaitymo JavaScript taip, kad įvestis būtų perskaityta prieš išsiunčiant. Bendrų patarimų prekybininkams rasite puslapyje IT sauga internetinėms parduotuvėms.
WooCommerce saugumas prasideda nuo PHP versijos
Skiltyje WooCommerce > Būsena sistemos būsenos serverio aplinkos dalyje rodoma PHP versija, su kuria parduotuvė iš tikrųjų veikia. Ištaisytos oficialios (upstream) versijos yra 8.5.12, 8.4.27, 8.3.36 ir 8.2.35. Tačiau talpintojai taisymus dažnai įdiegia kaip atgalinį perkėlimą (backport); tada rodomas numeris lieka senas. Todėl pasikliaukite raštišku talpintojo patvirtinimu ir visų PHP procesų paleidimu iš naujo.
Kurias PHP versijas palaiko jūsų WooCommerce versija, pagal gamintojo sistemos reikalavimus patikrinkite woocommerce.com. Perėjimą prie naujesnės pagrindinės PHP versijos reikėtų atlikti bandomojoje aplinkoje, nes kitaip mokėjimo įskiepiai gali nepastebimai nustoti veikti.
Nuo ko užpuolikai pradeda WooCommerce parduotuvėse
Be žinomų WordPress slėptuvių, yra ir parduotuvėms būdingų vietų:
- Temos šablonų pakeitimai: aplankas
woocommerce/checkout/aktyvioje temoje. Čia pakeisti failai tiesiogiai veikia kasą ir užsakymo patvirtinimą. - Mokėjimo įskiepiai: pakeisti mokėjimo teikėjo failai aplanke
wp-content/plugins/. - REST API raktai: skiltyje WooCommerce > Nustatymai > Išplėstiniai > REST API. Svetimas raktas su skaitymo ar rašymo teisėmis yra užpakalinės durys be failo.
- Webhook'ai: skiltyje Išplėstiniai > Webhooks. Nežinomas webhook'as gali kiekvieną naują užsakymą siųsti į svetimą adresą.
- Rolės: naujos paskyros su role „Parduotuvės vadovas“ arba „Administratorius“.
- Žurnalai:
wp-content/uploads/wc-logs/gali turėti asmens duomenų ir neturėtų būti viešai pasiekiamas.
Nepavojingos patikros komandinėje eilutėje:
# Išvardyti administratorius ir parduotuvės vadovus
wp user list --role=administrator
wp user list --role=shop_manager
# Parodyti temoje nuo 2026 m. spalio 17 d. pakeistus PHP failus
find wp-content/themes -name "*.php" -newermt "2026-10-17"
PHP pataisa neištrina nei svetimo REST API rakto, nei įterpto webhook'o. Abu veikia ir po atnaujinimo. Todėl aktyviai patikrinkite sąrašus, o kilus įtarimui atnaujinkite API raktus pas savo mokėjimo paslaugų teikėjus.
Plėtiniai ir parduotuvės atnaujinimai: ką jie pasiekia ir ko ne
Tipinė WooCommerce parduotuvė naudoja daug plėtinių: mokėjimo būdus, siuntimo etiketes, sąskaitų išrašymą, prekyviečių integracijas, atsiliepimų ir rinkodaros įskiepius. Kiekvienas jų yra papildomas kodas su savomis spragomis ir dažnai su savomis prieigomis prie išorinių paslaugų. Sąrašą laikykite trumpą ir pašalinkite senų mokėjimo būdų bandomuosius diegimus.
WooCommerce ar WordPress atnaujinimas uždaro žinomas šių komponentų klaidas. Jis netaiso PHP, nepašalina svetimų failų už įskiepio aplanko ribų ir neištrina duomenų bazės įrašų, tokių kaip API raktai ar webhook'ai. Kaip suprasti, ar kas nors jau įvyko, aprašyta puslapyje Ar jau esu kompromituotas?.
Jei talpintojas PHP atnaujinimo dar neįdiegė, laiko gali laimėti priešakyje įjungtas filtras. Jis pataisos nepakeičia; daugiau apie tai puslapyje WAF ir virtualus pataisymas.
Pareigos įvykus incidentui parduotuvėje
Jei prarandami klientų asmens duomenys, per 72 valandas gali reikėti pranešti duomenų apsaugos priežiūros institucijai. Tai bendra informacija, ne teisinė konsultacija. Anksti įtraukite savo duomenų apsaugos pareigūną ir perskaitykite mūsų apžvalgą apie BDAR pareigą pranešti. Taip pat laikykitės savo mokėjimo paslaugų teikėjų reikalavimų saugumo incidentų atveju.
Po kiekvieno įsikišimo išbandykite visą užsakymo procesą su visais siūlomais mokėjimo būdais. Atkreipkite dėmesį į neįprastus tarpinius žingsnius, papildomus įvesties laukus ar peradresavimus į svetimus domenus. Naršyklės kūrėjo įrankiai rodo, kokie scenarijai kokiais adresais įkeliami; nežinomi šaltiniai kasos puslapyje yra perspėjamasis ženklas. Testą dokumentuokite nurodydami datą ir rezultatą.
Kaip PHP SOS padeda konkrečiai?
- Su jūsų talpintoju išsiaiškiname PHP pataisų būseną ir leidžiame patvirtinti visų PHP procesų paleidimą iš naujo.
- Prieš ką nors keisdami išsaugome žurnalus, duomenų bazę ir failus.
- Tikriname atsiskaitymo šablonus, mokėjimo įskiepius, REST API raktus, webhook'us ir naudotojų roles.
- Radę pėdsakų išvalome parduotuvę, kartu su jumis atnaujiname prieigas ir dokumentuojame eigą duomenų apsaugai ir draudimui.
Dažni klausimai
Ar dėl PHP2Shell kyla pavojus kredito kortelių duomenims WooCommerce?
Tai priklauso nuo to, kaip integruotas mokėjimo paslaugų teikėjas. Jei kortelės duomenys įvedami teikėjo formoje, jie dažniausiai parduotuvėje nesaugomi. Tačiau užpuolikas, turintis prieigą prie serverio, gali pakeisti atsiskaitymą taip, kad įvestis būtų perimta anksčiau.
Kur WooCommerce galiu pamatyti PHP versiją?
Skiltyje WooCommerce > Būsena, serverio aplinkos dalyje. Numeris rodo versiją, su kuria parduotuvė veikia. Ar įdiegtas atgalinis pataisos perkėlimas (backport), iš to nematyti; tai turi patvirtinti talpintojas.
Kodėl turėčiau patikrinti WooCommerce webhook'us?
Webhook'ai įvykių, pavyzdžiui, naujų užsakymų, metu siunčia duomenis į nurodytą adresą. Slapta sukurtas webhook'as gali nuolat siųsti užsakymų duomenis trečiosioms šalims, net ir po to, kai PHP jau pataisytas.
Ar kilus įtarimui turiu informuoti mokėjimo paslaugų teikėjus?
Esant pagrįstam įtarimui verta pas teikėją atnaujinti API raktus ir laikytis jo reikalavimų saugumo incidentų atveju. Ar yra pareiga pranešti, išsiaiškinkite su savo duomenų apsaugos pareigūnu arba teisininku.