Pe scurt: Dacă magazinul dumneavoastră online a fost hackuit sau rulează pe o versiune PHP fără patch, sunt în joc trei lucruri deodată: datele clienților, checkout-ul și cifra de afaceri. Treceți magazinul în mod controlat în modul de mentenanță, salvați logurile începând cu 20.10.2026 și stabiliți cine actualizează și repornește PHP pe serverul dumneavoastră.
Ce este în joc într-un magazin online
Un magazin online este mai mult decât un site web. El gestionează conturi de clienți cu hash-uri de parole, adrese de livrare și de facturare, istoricul comenzilor, vouchere și adesea și interfețe către gestiunea mărfurilor, firme de curierat și piețe online. Cine poate executa cod pe server ajunge, de regulă, la baza de date și la cheile API stocate acolo.
Datele cardurilor nu se află de obicei la dumneavoastră, ci la furnizorul de plăți. Asta liniștește doar în parte: un atacator poate introduce în procesul de comandă un JavaScript care citește datele introduse în browser. Astfel de scripturi de skimming sunt greu de observat în funcționarea magazinului, pentru că comenzile se desfășoară absolut normal.
La acestea se adaugă interfețele. Un magazin care transmite comenzile către gestiunea mărfurilor, firmele de curierat și piețele online își păstrează de obicei cheile de acces pentru acestea în fișiere de configurare de pe server. Cine le copiază poate genera, în numele comerciantului, etichete de expediere, poate modifica stocurile sau poate abuza de conturile de pe piețele online.
Sisteme de magazin uzuale și de ce le afectează PHP2Shell
Sistemele de magazin răspândite în mediul IMM european rulează pe PHP: Shopware 6, WooCommerce, Magento, OXID, PrestaShop și multe instalări Shopware 5 mai vechi. PHP2Shell (CVE-2026-109618 și CVE-2026-109619, fiecare cu CVSS 9.2) se află în PHP însuși. Atacatorii nu au nevoie de un cont de client și nici de acces de administrator.
Pentru comercianți asta înseamnă: cea mai nouă actualizare a magazinului nu protejează. Contează dacă PHP de pe server este la versiunea 8.5.12, 8.4.27, 8.3.36 sau 8.2.35, ori dacă furnizorul de hosting a aplicat un backport, și dacă după aceea toate procesele PHP au fost repornite. Pentru magazinele vechi pe PHP 8.1 sau mai vechi, proiectul PHP nu mai oferă actualizări oficiale. Atunci, pe lângă urgență, urmează o migrare pe care nu doriți să o faceți sub presiunea timpului în plin sezon.
Magazin online hackuit: ce înseamnă concret un incident
Un magazin compromis provoacă pagube la mai multe niveluri, care se amplifică reciproc:
- Vânzări: Fiecare oră de mentenanță costă comenzi. Un magazin care continuă să funcționeze neobservat poate ajunge însă mult mai costisitor.
- Datele clienților: Adresele și comenzile scurse sunt folosite pentru e-mailuri de phishing țintite, care par autentice pentru că menționează comenzi reale.
- Vizibilitate: Dacă Google detectează cod malițios, în rezultatele căutării apare un avertisment. Cum scăpați de el, găsiți în ghidul Eliminarea avertismentului Google.
- Parteneri: Furnizorii de plăți și piețele online au reguli proprii pentru incidentele de securitate. Cine raportează prea târziu riscă probleme la decontare.
Cine răspunde: agenția, furnizorul de hosting sau comerciantul?
În multe magazine, întrebarea despre PHP cade între scaune. Agenția a construit magazinul și întreține pluginurile, furnizorul de hosting operează serverul, iar comerciantul presupune că unul dintre ei se ocupă. La hostingul administrat (managed), de obicei patchul îl aplică furnizorul de hosting; la un vServer propriu, nimeni nu o face automat.
| Sarcină | De regulă responsabil | Verificați |
|---|---|---|
| Actualizarea pachetului PHP | Furnizorul de hosting sau administratorul serverului | Confirmare scrisă cu versiunea pachetului |
| Repornirea proceselor PHP | cine administrează serverul | Momentul repornirii |
| Magazin și pluginuri | Agenția | Contract de mentenanță și accesuri |
| Informarea furnizorului de plăți | Comerciantul | Obligații contractuale de notificare |
Un patch PHP nu dovedește că nu s-a întâmplat nimic înainte. Dacă magazinul a fost atacat între 17.10. și momentul aplicării patchului, codul introdus poate continua să ruleze. Puneți să se verifice acest lucru înainte de a da alarma drept încheiată.
Primele ore: ordinea de acțiuni pentru comercianți
- Treceți magazinul în modul de mentenanță sau, dacă nu este posibil, scoateți-l temporar de pe internet.
- Salvați logurile serverului web, ale PHP și ale magazinului începând cu 20.10.2026, înainte ca rotația să le șteargă.
- Solicitați furnizorului de hosting confirmarea scrisă a versiunii pachetului PHP și a repornirii.
- Înnoiți parolele de administrator, cheile API pentru plată, livrare și piețe online, precum și accesurile la baza de date, și anume abia după curățare.
- Verificați dacă checkout-ul, pluginurile de plată și scripturile încorporate au suferit modificări.
Dacă există indicii de scurgere de date, curge termenul de 72 de ore al RGPD. Evaluarea juridică o realizați împreună cu responsabilul cu protecția datelor și, după caz, cu avocatul dumneavoastră.
Cum ajută PHP SOS concret?
- Verificăm de la distanță versiunea reală a pachetului PHP, modul de operare (de exemplu mod_php sau PHP-FPM) și dacă toți workerii au fost repornați.
- Examinăm fișierele magazinului, baza de date și checkout-ul în căutare de webshell-uri, cod de skimming și conturi noi de administrator și eliminăm software-ul malițios găsit.
- Ne coordonăm cu agenția și cu furnizorul dumneavoastră de hosting, astfel încât mentenanța magazinului și operarea serverului să nu se desfășoare separat.
- Documentăm constatările și măsurile în așa fel încât să le puteți prezenta furnizorului de plăți, asigurătorului și responsabilului cu protecția datelor.
- Apoi securizăm serverul și, la cerere, preluăm monitorizarea continuă.
Întrebări frecvente
Trebuie să scot magazinul de pe internet din cauza PHP2Shell?
BSI (Oficiul Federal German pentru Securitatea Informațiilor) recomandă scoaterea temporară a serverelor web de pe internet atunci când actualizarea PHP nu este posibilă imediat. Pentru un magazin, modul de mentenanță cu o pagină de informare este adesea o variantă mai bună decât un mesaj de eroare. Imediat ce PHP este actualizat și toate procesele au fost repornite, magazinul poate fi redeschis.
Sunt în pericol datele cardurilor din magazinul meu?
În majoritatea magazinelor, datele cardurilor nu se află pe serverul propriu, ci la furnizorul de plăți. Periculos este însă codul manipulat din checkout, care preia datele introduse înainte ca acestea să ajungă la furnizor. De aceea, checkout-ul face parte din orice verificare după un atac.
Este suficient să actualizez Shopware sau WooCommerce?
Nu. PHP2Shell afectează PHP în sine, nu sistemul de magazin. O actualizare a magazinului nu închide vulnerabilitatea, iar un patch PHP nu elimină codul malițios deja introdus.
Pe cine trebuie să informez după o scurgere de date?
În cazul datelor cu caracter personal, poate fi necesară notificarea autorității de supraveghere a protecției datelor în termen de 72 de ore și, în funcție de risc, informarea persoanelor vizate. La acestea se adaugă obligațiile contractuale față de furnizorul de plăți și de asigurător. Evaluarea în fiecare caz concret o realizați împreună cu responsabilul cu protecția datelor și cu un avocat.