Pe scurt: După PHP2Shell, securitatea WooCommerce depinde în primul rând de PHP-ul serverului, nu de plugin-ul magazinului. Un magazin păstrează date de clienți, comenzi și accesuri la furnizorii de plăți, de aceea patchul PHP singur nu este suficient. Verificați suplimentar codul checkout-ului, cheile API REST și webhook-urile.
Ce înseamnă PHP2Shell pentru un magazin WooCommerce
WooCommerce este un plugin pentru WordPress și rulează, așadar, pe același PHP. Potrivit echipei PHP, vulnerabilitățile CVE-2026-109618 și CVE-2026-109619 permit execuția de cod malițios la distanță, fără autentificare. Pentru un magazin este mai grav decât pentru un site de prezentare, deoarece sunt în joc mai multe lucruri:
- Nume, adrese de livrare și de facturare, numere de telefon și adrese de e-mail
- Istoricul comenzilor și conturile de clienți cu hash-uri de parole
- Chei API și secrete ale conexiunilor cu furnizorii de plăți, de expediere și de contabilitate, stocate în baza de date
- Descărcările produselor digitale din directorul
wp-content/uploads/woocommerce_uploads/
La formularele de plată integrate ale furnizorilor, datele cardurilor nu se află de regulă în magazin. Un atacator cu acces la server poate totuși modifica JavaScript-ul checkout-ului astfel încât datele introduse să fie citite înainte de trimitere. Indicații generale pentru comercianți găsiți la Securitate IT pentru magazine online.
Securitatea WooCommerce începe cu versiunea PHP
La WooCommerce > Stare, starea sistemului afișează, în secțiunea despre mediul serverului, versiunea PHP cu care rulează de fapt magazinul. Versiunile upstream remediate sunt 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Furnizorii de hosting integrează însă adesea corecțiile ca backport, caz în care numărul afișat rămâne vechi. De aceea, bazați-vă pe confirmarea scrisă a furnizorului de hosting și pe repornirea tuturor proceselor PHP.
Ce versiuni PHP sunt acceptate de versiunea dumneavoastră de WooCommerce verificați conform cerințelor de sistem ale producătorului de pe woocommerce.com. Trecerea la o versiune majoră PHP mai nouă ar trebui făcută într-un mediu de test, deoarece altfel plugin-urile de plată pot înceta să funcționeze neobservat.
Unde atacă atacatorii în magazinele WooCommerce
Pe lângă ascunzătorile cunoscute din WordPress, există locuri tipice pentru magazine:
- Suprascrieri de șabloane în temă: directorul
woocommerce/checkout/din tema activă. Fișierele modificate aici influențează direct casa și confirmarea comenzii. - Plugin-uri de plată: fișiere modificate în
wp-content/plugins/ale furnizorului de plăți. - Chei API REST: la WooCommerce > Setări > Avansat > REST API. O cheie străină cu drepturi de citire sau scriere este o ușă dosnică fără fișier.
- Webhook-uri: la Avansat > Webhook-uri. Un webhook necunoscut poate trimite fiecare comandă nouă către o adresă străină.
- Roluri: conturi noi cu rolul „Shop manager” sau „Administrator”.
- Jurnale:
wp-content/uploads/wc-logs/poate conține date cu caracter personal și nu ar trebui să fie accesibil public.
Verificări inofensive în linia de comandă:
# Listarea administratorilor și a managerilor de magazin
wp user list --role=administrator
wp user list --role=shop_manager
# Afișarea fișierelor PHP din temă modificate din 17.10.2026
find wp-content/themes -name "*.php" -newermt "2026-10-17"
Un patch PHP nu șterge nici o cheie API REST străină, nici un webhook strecurat. Ambele continuă să funcționeze și după actualizare. Verificați, de aceea, activ listele și reînnoiți, în caz de suspiciune, cheile API la furnizorii dumneavoastră de plăți.
Extensii și actualizări de magazin: ce pot și ce nu pot face
Un magazin WooCommerce tipic folosește multe extensii: metode de plată, etichete de expediere, generarea facturilor, conexiuni cu marketplace-uri, plugin-uri de recenzii și de marketing. Fiecare dintre ele este cod suplimentar cu propriile vulnerabilități și adesea cu propriile accesuri la servicii externe. Păstrați lista scurtă și eliminați instalările de test ale unor metode de plată vechi.
O actualizare WooCommerce sau WordPress închide erori cunoscute în aceste componente. Ea nu repară PHP, nu elimină fișiere străine din afara directorului plugin-ului și nu șterge intrări din baza de date, precum cheile API sau webhook-urile. Cum recunoașteți dacă s-a întâmplat deja ceva este descris la Am fost deja compromis?.
Dacă actualizarea PHP de la furnizorul de hosting este încă în așteptare, un filtru plasat în față poate câștiga timp. El nu înlocuiește patchul; mai multe detalii la WAF și patching virtual.
Obligații în cazul unui incident în magazin
Dacă se pierd date cu caracter personal ale clienților, poate fi necesară o notificare către autoritatea de supraveghere a protecției datelor în termen de 72 de ore. Aceasta este o informație generală, nu consultanță juridică. Implicați din timp responsabilul dumneavoastră cu protecția datelor și citiți prezentarea noastră despre obligația de notificare conform RGPD. Respectați, în plus, cerințele furnizorilor dumneavoastră de plăți pentru incidente de securitate.
După fiecare intervenție, testați o comandă completă cu toate metodele de plată pe care le oferiți. Fiți atenți la pași intermediari neobișnuiți, câmpuri de introducere suplimentare sau redirecționări către domenii străine. Instrumentele pentru dezvoltatori ale browserului arată ce scripturi sunt încărcate de la ce adrese; sursele necunoscute pe pagina casei sunt un semnal de avertizare. Documentați testul cu data și rezultatul.
Cum ajută PHP SOS concret?
- Clarificăm cu furnizorul dumneavoastră de hosting starea patchului PHP și punem să fie confirmată repornirea tuturor proceselor PHP.
- Salvăm jurnalele, baza de date și fișierele înainte de a modifica ceva.
- Verificăm șabloanele de checkout, plugin-urile de plată, cheile API REST, webhook-urile și rolurile utilizatorilor.
- În caz de descoperiri, curățăm magazinul, reînnoim accesurile împreună cu dumneavoastră și documentăm desfășurarea pentru protecția datelor și asigurare.
Întrebări frecvente
Sunt datele cardurilor din WooCommerce puse în pericol de PHP2Shell?
Depinde de modul în care este integrat furnizorul de plăți. Dacă cardurile sunt introduse într-un formular al furnizorului, ele nu se află de regulă în magazin. Un atacator cu acces la server poate totuși modifica checkout-ul astfel încât datele introduse să fie interceptate înainte.
Unde văd versiunea PHP în WooCommerce?
La WooCommerce > Stare, în secțiunea despre mediul serverului. Numărul arată versiunea cu care rulează magazinul. Dacă a fost aplicat un backport nu puteți vedea de aici; acest lucru trebuie confirmat de furnizorul de hosting.
De ce ar trebui să verific webhook-urile WooCommerce?
Webhook-urile trimit date către o adresă înregistrată atunci când au loc evenimente, precum comenzi noi. Un webhook creat pe ascuns poate trimite permanent date de comandă către terți, chiar și după ce PHP a fost actualizat.
Trebuie să informez furnizorii de plăți în caz de suspiciune?
În cazul unei suspiciuni întemeiate, ar trebui să reînnoiți cheile API la furnizor și să respectați cerințele acestuia pentru incidente de securitate. Dacă există obligații de notificare, clarificați cu responsabilul dumneavoastră cu protecția datelor sau cu avocatul.