# Хакнат онлайн магазин? ИТ сигурност за търговци

> Онлайн магазинът е хакнат или застрашен от PHP2Shell? Как търговците защитават клиентските акаунти, плащането и оборота и организират първите часове.

Източник: https://phpsos.de/bg/branchen/onlineshops/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** Ако Вашият онлайн магазин е хакнат или работи с непачната версия на PHP, става дума за три неща едновременно: клиентски данни, страницата за плащане и Вашия оборот. Преведете магазина контролирано в режим на поддръжка, запазете логовете от 20.10.2026 г. и изяснете кой актуализира и рестартира PHP на Вашия сървър.

## Какво е заложено в един онлайн магазин

Магазинът е нещо повече от уебсайт. Той управлява клиентски акаунти с хешове на паролите, адреси за доставка и фактуриране, история на поръчките, ваучери, а често и интерфейси към системата за управление на стоките, към куриерските услуги и към пазарите. Който може да изпълнява код на сървъра, по правило достига до базата данни и до съхранените в нея API ключове.

Данните от картите обикновено не са при Вас, а при платежния доставчик. Това успокоява само отчасти: атакуващият може да внедри JavaScript в процеса на поръчка, който прочита въведеното в браузъра. Такива скриптове за скимване почти не се забелязват в работата на магазина, защото поръчките минават съвсем нормално.

Към това се добавят интерфейсите. Магазин, който предава поръчки на системата за управление на стоките, на куриерските услуги и на пазарите, съхранява ключовете за достъп до тях най-често в конфигурационни файлове на сървъра. Който ги копира, може от името на търговеца да създава товарителници, да променя наличностите или да злоупотребява с акаунти на пазари.

## Типични магазинни системи и защо PHP2Shell ги засяга

Разпространените магазинни системи в средния бизнес в Европа работят на PHP: [Shopware 6](https://phpsos.de/bg/plattformen/shopware-6/), [WooCommerce](https://phpsos.de/bg/plattformen/woocommerce/), Magento, OXID, PrestaShop и много по-стари инсталации на Shopware 5. PHP2Shell (CVE-2026-109618 и CVE-2026-109619, по CVSS 9,2) е в самия PHP. Атакуващите не се нуждаят от клиентски акаунт, нито от администраторски достъп.

За търговците това означава: най-новата актуализация на магазина не защитава. Решаващо е дали PHP на сървъра е на 8.5.12, 8.4.27, 8.3.36 или 8.2.35, или хостинг доставчикът е внесъл backport, и дали след това всички PHP процеси са рестартирани. При стари магазини с PHP 8.1 или по-стар проектът PHP вече не предоставя официални актуализации. Тогава освен спешния случай предстои и миграция, която не искате да извършвате под натиск в разгара на сезона.

## Хакнат онлайн магазин: какво означава конкретно инцидентът

Компрометираният магазин причинява щети на няколко равнища, които се усилват взаимно:

- **Оборот:** Всеки час в режим на поддръжка струва поръчки. Магазин, който продължава незабелязано да работи, обаче може да излезе значително по-скъпо.
- **Клиентски данни:** Изтеклите адреси и поръчки се използват за целенасочени фишинг имейли, които изглеждат истински, защото назовават истински поръчки.
- **Видимост:** Ако Google разпознае злонамерен код, в резултатите от търсенето се появява предупреждение. Как да се отървете от него, е описано в наръчника [Премахване на предупреждението на Google](https://phpsos.de/bg/ratgeber/google-warnung-entfernen/).
- **Партньори:** Платежните доставчици и пазарите имат собствени правила за инциденти със сигурността. Който уведоми твърде късно, рискува неприятности при разплащането.

## Кой отговаря: агенция, хостинг доставчик или търговец?

В много магазини въпросът за PHP пада между всички. Агенцията е изградила магазина и поддържа добавките, хостинг доставчикът управлява сървъра, а търговецът приема, че някой от двамата се грижи. При управляван хостинг пачва най-често хостинг доставчикът, а при собствен vServer – никой автоматично.

| Задача | Обикновено отговаря | Проверете |
|---|---|---|
| Актуализиране на PHP пакета | Хостинг доставчик или поддържащ сървъра | Писмено потвърждение със състоянието на пакета |
| Рестартиране на PHP процесите | Който управлява сървъра | Час на рестартирането |
| Магазин и добавки | Агенция | Договор за поддръжка и достъпи |
| Информиране на платежния доставчик | Търговец | Договорни задължения за уведомяване |

> **Важно:**
> Пачът за PHP не доказва, че преди това нищо не се е случило. Ако магазинът е бил атакуван между 17.10. и момента на пача, внедреният код може да продължава да работи. Накарайте да се провери това, преди да обявите, че опасността е отминала.

## Първите часове: ред на действие за търговци

1. Преведете магазина в режим на поддръжка или, ако това не е възможно, го изключете временно от мрежата.
2. Запазете логовете на уеб сървъра, на PHP и на магазина от 20.10.2026 г., преди ротацията да ги изтрие.
3. Поискайте от хостинг доставчика писмено потвърждение на състоянието на PHP пакета и на рестартирането.
4. Подновете администраторските пароли, API ключовете за плащане, доставка и пазари, както и достъпите до базата данни, и то едва след почистването.
5. Проверете страницата за плащане, добавките за плащане и вградените скриптове за промени.

Ако има признаци за изтичане на данни, тече [72-часовият срок по ОРЗД](https://phpsos.de/bg/compliance/dsgvo-meldepflicht-72-stunden/). Правната оценка правите със своето длъжностно лице по защита на данните и при нужда с Вашия адвокат.

## Как помага PHP SOS конкретно?

- Проверяваме отдалечено реалното състояние на PHP пакета, режима на работа (например mod_php или PHP-FPM) и дали всички worker процеси са рестартирани.
- Проучваме файловете на магазина, базата данни и страницата за плащане за уеб шелове, код за скимване и нови администраторски акаунти и [премахваме намерения зловреден софтуер](https://phpsos.de/bg/leistungen/malware-entfernung/).
- Съгласуваме се с Вашата агенция и с Вашия хостинг доставчик, за да не се разминават поддръжката на магазина и експлоатацията на сървъра.
- Документираме находките и мерките така, че да можете да ги представите на платежния доставчик, на застрахователя и на длъжностното лице по защита на данните.
- След това заздравяваме сървъра и по желание поемаме текущото наблюдение.


## Често задавани въпроси

**Трябва ли да изключа магазина от мрежата заради PHP2Shell?**  
BSI (Федералната служба за информационна сигурност на Германия) препоръчва уеб сървърите да се изключват временно от мрежата, когато актуализацията на PHP не е възможна веднага. За един магазин режимът на поддръжка със страница с обяснение често е по-добрият път от съобщение за грешка. Щом PHP е пачнат и всички процеси са рестартирани, магазинът може да отвори отново.

**Застрашени ли са данните от кредитни карти в моя магазин?**  
В повечето магазини данните от картите не се съхраняват на собствения сървър, а при платежния доставчик. Опасен обаче е манипулиран код в страницата за плащане, който прихваща въведеното, преди да стигне до доставчика. Затова страницата за плащане е част от всяка проверка след атака.

**Достатъчно ли е да актуализирам Shopware или WooCommerce?**  
Не. PHP2Shell засяга самия PHP, а не магазинната система. Актуализацията на магазина не затваря уязвимостта, а пачът за PHP не премахва вече внедрен злонамерен код.

**Кого трябва да информирам след изтичане на данни?**  
При лични данни е възможно уведомяване на надзорния орган по защита на данните в рамките на 72 часа, а според риска и информиране на засегнатите лица. Към това се добавят договорни задължения към платежния доставчик и към застрахователя. Оценката в конкретния случай правите заедно с длъжностното лице по защита на данните и адвокат.

## Източници

- [php.net: Съобщения за сигурност](https://www.php.net/)
- [BSI: Предупреждения и препоръки](https://www.bsi.bund.de/)
- [ОРЗД, чл. 33: Уведомяване на надзорния орган](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)