Lühidalt: WooCommerce'i turvalisus sõltub pärast PHP2Shelli kõigepealt serveri PHP-st, mitte poe pluginast. Pood hoiab kliendiandmeid, tellimusi ja ligipääse makseteenuse pakkujatele, seetõttu üksi PHP paigast ei piisa. Kontrollige lisaks kassa koodi, REST API võtmeid ja veebihaake.
Mida PHP2Shell tähendab WooCommerce'i poele
WooCommerce on WordPressi plugin ja töötab seega samas PHP-s. Turvaaugud CVE-2026-109618 ja CVE-2026-109619 võimaldavad PHP meeskonna andmetel kahjuliku koodi kaugkäivitamist ilma sisselogimiseta. Poe jaoks on see tõsisem kui visiitkaardisaidi puhul, sest mängus on rohkem:
- Nimed, tarne- ja arveaadressid, telefoninumbrid ja e-posti aadressid
- Tellimuste ajalugu ja kliendikontod koos paroolide räsidega
- Makse-, saatmis- ja raamatupidamisliideste API võtmed ja saladused, mis on salvestatud andmebaasi
- Digitaalsete toodete allalaadimised kaustas
wp-content/uploads/woocommerce_uploads/
Lõimitud pakkujate maksevormide puhul ei asu kaardiandmed tavaliselt poes. Serverile ligipääsu saanud ründaja võib aga kassa JavaScripti muuta nii, et sisestusi loetakse enne saatmist kaasa. Üldised juhised kauplejatele leiate lehelt Veebipoodide IT-turvalisus.
WooCommerce'i turvalisus algab PHP versioonist
Menüüs WooCommerce > Olek näitab süsteemi olek serverikeskkonna jaotises PHP versiooni, millega pood tegelikult töötab. Upstream'i parandatud versioonid on 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Majutajad toovad parandused aga sageli sisse tagasiportimisena (backport), siis jääb kuvatud number vanaks. Toetuge seetõttu majutaja kirjalikule kinnitusele ja kõigi PHP protsesside taaskäivitusele.
Milliseid PHP versioone teie WooCommerce'i versioon toetab, kontrollige tootja süsteeminõuete järgi lehel woocommerce.com. Üleminek uuemale PHP peaversioonile tuleks teha testkeskkonnas, sest muidu võivad maksepluginad märkamatult rivist välja langeda.
Kus ründajad WooCommerce'i poodides ligi hakkavad
Lisaks tuntud WordPressi peidukohtadele on poele omaseid kohti:
- Mallide ülekirjutused teemas: kaust
woocommerce/checkout/aktiivses teemas. Siin muudetud failid mõjuvad otse kassale ja tellimuse kinnitusele. - Maksepluginad: muudetud failid makseteenuse pakkuja kaustas
wp-content/plugins/. - REST API võtmed: menüüs WooCommerce > Seaded > Täpsemalt > REST API. Võõras võti lugemis- või kirjutusõigustega on tagauks ilma failita.
- Veebihaagid: menüüs Täpsemalt > Veebihaagid. Tundmatu veebihaak võib iga uue tellimuse saata võõrale aadressile.
- Rollid: uued kontod rolliga „Poehaldur“ või „Administraator“.
- Logid:
wp-content/uploads/wc-logs/võib sisaldada isikuandmeid ja ei tohiks olla avalikult kättesaadav.
Ohutud kontrollid käsurealt:
# Administraatorite ja poehaldurite loetlemine
wp user list --role=administrator
wp user list --role=shop_manager
# Alates 17.10.2026 muudetud PHP failide kuvamine teemas
find wp-content/themes -name "*.php" -newermt "2026-10-17"
PHP paik ei kustuta võõrast REST API võtit ega sissetoodud veebihaaki. Mõlemad töötavad ka pärast uuendust edasi. Kontrollige loendeid seetõttu aktiivselt ja uuendage kahtluse korral API võtmed oma makseteenuse pakkujate juures.
Laiendused ja poe uuendused: mida need annavad ja mida mitte
Tüüpiline WooCommerce'i pood kasutab palju laiendusi: maksevõimalusi, saatesilte, arvete koostamist, turuplatsi liideseid, hinnangu- ja turundusplugin'aid. Igaüks neist on lisakood oma turvaaukudega ja sageli oma ligipääsudega välisteenustele. Hoidke loend lühike ja eemaldage vanade maksevõimaluste testpaigaldused.
WooCommerce'i või WordPressi uuendus sulgeb nende komponentide teadaolevad vead. See ei paranda PHP-d, ei eemalda võõraid faile väljaspool plugina kausta ega kustuta andmebaasikirjeid, nagu API võtmed või veebihaagid. Kuidas tuvastada, kas midagi on juba juhtunud, kirjeldab leht Kas olen juba kompromiteeritud?.
Kui PHP uuendus on majutaja juures veel pooleli, võib ette lülitatud filter aega võita. See ei asenda paika; lähemalt lehel WAF ja virtuaalne paikamine.
Kohustused poes toimunud intsidendi korral
Kui klientide isikuandmed lähevad kaotsi, võib andmekaitseasutusele teavitamine 72 tunni jooksul olla vajalik. See on üldine teave, mitte õigusnõustamine. Kaasake oma andmekaitsespetsialist varakult ja lugege meie ülevaadet IKÜM-i 72-tunnine tähtaeg. Arvestage lisaks oma makseteenuse pakkujate nõuetega turvaintsidentide korral.
Testige pärast iga sekkumist läbi täielik tellimisprotsess kõigi pakutavate maksevõimalustega. Jälgige ebatavalisi vahesamme, lisasisestusvälju või suunamisi võõrastele domeenidele. Brauseri arendajatööriistad näitavad, millised skriptid millistelt aadressidelt laaditakse; tundmatud allikad kassalehel on hoiatusmärk. Dokumenteerige test kuupäeva ja tulemusega.
Kuidas PHP SOS konkreetselt aitab?
- Selgitame koos teie majutajaga välja PHP paigataseme ja laseme kõigi PHP protsesside taaskäivituse kinnitada.
- Varundame logid, andmebaasi ja failid enne, kui midagi muudame.
- Kontrollime kassamalle, maksepluginaid, REST API võtmeid, veebihaake ja kasutajarolle.
- Leidude korral puhastame poe, uuendame koos teiega ligipääsud ja dokumenteerime kulgemise andmekaitse ja kindlustuse jaoks.
Korduma kippuvad küsimused
Kas PHP2Shell ohustab WooCommerce'is krediitkaardiandmeid?
See sõltub makseteenuse pakkuja lõimimisest. Kui kaardid sisestatakse pakkuja vormis, ei asu need tavaliselt poes. Serverile ligipääsu saanud ründaja võib aga kassat muuta nii, et sisestused püütakse eelnevalt kinni.
Kust ma näen WooCommerce'is PHP versiooni?
Menüüst WooCommerce > Olek serverikeskkonna jaotises. Number näitab versiooni, millega pood töötab. Kas tagasiportimine (backport) on peal, sellest ei selgu; seda peab kinnitama majutaja.
Miks peaksin WooCommerce'i veebihaake kontrollima?
Veebihaagid saadavad sündmuste, näiteks uute tellimuste puhul andmeid sisestatud aadressile. Salaja loodud veebihaak võib tellimusandmeid püsivalt kolmandatele saata, ka pärast PHP paikamist.
Kas pean kahtluse korral makseteenuse pakkujaid teavitama?
Põhjendatud kahtluse korral uuendage API võtmed pakkuja juures ja järgige tema turvaintsidentide nõudeid. Kas teavitamiskohustus on olemas, selgitage välja oma andmekaitsespetsialisti või advokaadiga.