Īsi: WooCommerce drošība pēc PHP2Shell vispirms ir atkarīga no servera PHP, nevis no veikala spraudņa. Veikalā ir klientu dati, pasūtījumi un piekļuves maksājumu pakalpojumu sniedzējiem, tāpēc ar PHP ielāpu vien nepietiek. Papildus pārbaudiet norēķinu procesa kodu, REST API atslēgas un webhooks.
Ko PHP2Shell nozīmē WooCommerce veikalam
WooCommerce ir WordPress spraudnis un tāpēc darbojas uz tā paša PHP. Ievainojamības CVE-2026-109618 un CVE-2026-109619 saskaņā ar PHP komandu ļauj izpildīt ļaunprātīgu kodu no attāluma bez pieteikšanās. Veikalam tas ir nopietnāk nekā vizītkartes vietnei, jo uz spēles ir vairāk:
- Vārdi, piegādes un rēķinu adreses, tālruņa numuri un e-pasta adreses
- Pasūtījumu vēsture un klientu konti ar paroļu jaucējkodiem (hash)
- API atslēgas un noslēpumi maksājumu, piegādes un grāmatvedības savienojumiem, kas glabājas datubāzē
- Digitālo produktu lejupielādes mapē
wp-content/uploads/woocommerce_uploads/
Ja maksājumu veidlapas ir sniedzēju integrētas, kartes dati parasti neatrodas veikalā. Uzbrucējs ar piekļuvi serverim tomēr var mainīt norēķinu procesa JavaScript tā, lai ievadītais tiek nolasīts pirms nosūtīšanas. Vispārīgus norādījumus tirgotājiem atradīsiet sadaļā IT drošība tiešsaistes veikaliem.
WooCommerce drošība sākas ar PHP versiju
Sadaļā WooCommerce > Statuss sistēmas statuss servera vides blokā rāda PHP versiju, ar kuru veikals patiešām darbojas. Labotās upstream versijas ir 8.5.12, 8.4.27, 8.3.36 un 8.2.35. Hostinga sniedzēji labojumus tomēr bieži ievieš kā backport, un tad redzamais numurs paliek vecs. Tāpēc paļaujieties uz hostinga sniedzēja rakstisku apstiprinājumu un visu PHP procesu pārstartēšanu.
Kuras PHP versijas atbalsta jūsu WooCommerce versija, pārbaudiet pēc ražotāja sistēmas prasībām vietnē woocommerce.com. Pāreja uz jaunāku PHP galveno versiju jāveic testa vidē, jo citādi maksājumu spraudņi var nemanot atteikties.
Kur uzbrucēji WooCommerce veikalos meklē iespējas
Papildus zināmajām WordPress slēptuvēm ir veikalam raksturīgas vietas:
- Veidņu (template) pārrakstīšana tēmā: mape
woocommerce/checkout/aktīvajā tēmā. Šeit mainīti faili tieši ietekmē kasi un pasūtījuma apstiprinājumu. - Maksājumu spraudņi: mainīti faili maksājumu sniedzēja mapē
wp-content/plugins/. - REST API atslēgas: sadaļā WooCommerce > Iestatījumi > Papildu > REST API. Sveša atslēga ar lasīšanas vai rakstīšanas tiesībām ir slēpta ieeja bez faila.
- Webhooks: sadaļā Papildu > Webhooks. Nezināms webhook var sūtīt katru jaunu pasūtījumu uz svešu adresi.
- Lomas: jauni konti ar lomu „Veikala pārvaldnieks” vai „Administrators”.
- Žurnāli (logs):
wp-content/uploads/wc-logs/var saturēt personas datus, un tai nevajadzētu būt publiski pieejamai.
Droši pārbaudes soļi komandrindā:
# Izvadīt administratorus un veikala pārvaldniekus
wp user list --role=administrator
wp user list --role=shop_manager
# Parādīt kopš 17.10.2026 mainītos PHP failus tēmā
find wp-content/themes -name "*.php" -newermt "2026-10-17"
PHP ielāps neizdzēš ne svešu REST API atslēgu, ne ievadītu webhook. Abi turpina darboties arī pēc atjaunināšanas. Tāpēc pārbaudiet sarakstus aktīvi un aizdomu gadījumā mainiet API atslēgas pie maksājumu pakalpojumu sniedzējiem.
Paplašinājumi un veikala atjauninājumi: ko tie dara un ko ne
Tipisks WooCommerce veikals izmanto daudz paplašinājumu: maksājumu veidus, piegādes uzlīmes, rēķinu izveidi, tirdzniecības vietņu savienojumus, atsauksmju un mārketinga spraudņus. Katrs no tiem ir papildu kods ar savām ievainojamībām un bieži ar savām piekļuvēm ārējiem pakalpojumiem. Turiet sarakstu īsu un noņemiet veco maksājumu veidu testa instalācijas.
WooCommerce vai WordPress atjauninājums aizver zināmas kļūdas šajos komponentos. Tas neizlabo PHP, nenoņem svešus failus ārpus spraudņa mapes un neizdzēš datubāzes ierakstus, piemēram, API atslēgas vai webhooks. Kā noteikt, vai kaut kas jau ir noticis, aprakstīts rakstā Vai esmu jau kompromitēts?.
Ja PHP atjauninājums pie hostinga sniedzēja vēl nav veikts, priekšā ieslēgts filtrs var iegūt laiku. Tas ielāpu neaizstāj; vairāk par to sadaļā WAF un virtuālā ielāpošana.
Pienākumi incidenta gadījumā veikalā
Ja tiek zaudēti klientu personas dati, var būt nepieciešams ziņojums datu aizsardzības uzraudzības iestādei 72 stundu laikā. Tā ir vispārīga informācija, nevis juridiska konsultācija. Savlaicīgi iesaistiet savu datu aizsardzības speciālistu un izlasiet mūsu pārskatu par VDAR ziņošanas pienākumu. Ņemiet vērā arī savu maksājumu pakalpojumu sniedzēju noteikumus drošības incidentiem.
Pēc katras iejaukšanās pārbaudiet pilnu pasūtīšanas procesu ar visiem piedāvātajiem maksājumu veidiem. Pievērsiet uzmanību neparastiem starpposmiem, papildu ievades laukiem vai novirzīšanai uz svešiem domēniem. Pārlūka izstrādātāju rīki rāda, kuri skripti no kādām adresēm tiek ielādēti; nezināmi avoti kases lapā ir brīdinājuma signāls. Dokumentējiet pārbaudi ar datumu un rezultātu.
Kā PHP SOS palīdz konkrēti?
- Mēs kopā ar jūsu hostinga sniedzēju noskaidrojam PHP ielāpa stāvokli un liekam apstiprināt visu PHP procesu pārstartēšanu.
- Mēs saglabājam žurnālus, datubāzi un failus, pirms kaut ko mainām.
- Mēs pārbaudām norēķinu veidnes, maksājumu spraudņus, REST API atslēgas, webhooks un lietotāju lomas.
- Atrasto gadījumā mēs attīrām veikalu, kopā ar jums mainām piekļuves un dokumentējam norisi datu aizsardzības un apdrošināšanas vajadzībām.
Biežāk uzdotie jautājumi
Vai WooCommerce kredītkaršu dati ir apdraudēti PHP2Shell dēļ?
Tas atkarīgs no maksājumu pakalpojumu sniedzēja integrācijas. Ja kartes dati tiek ievadīti sniedzēja veidlapā, tie parasti neatrodas veikalā. Uzbrucējs ar piekļuvi serverim tomēr var mainīt norēķinu procesu tā, lai ievadītais tiek nolasīts jau iepriekš.
Kur WooCommerce redzu PHP versiju?
Sadaļā WooCommerce > Statuss, servera vides blokā. Numurs rāda versiju, ar kuru veikals darbojas. Vai backport ir ieviests, no tā nevar noteikt; to jāapstiprina hostinga sniedzējam.
Kāpēc man būtu jāpārbauda WooCommerce webhooks?
Webhooks notikumu, piemēram, jaunu pasūtījumu, gadījumā sūta datus uz norādītu adresi. Slepeni izveidots webhook var pastāvīgi sūtīt pasūtījumu datus trešajām personām arī pēc tam, kad PHP ir ielāpots.
Vai aizdomu gadījumā man jāinformē maksājumu pakalpojumu sniedzēji?
Pamatotu aizdomu gadījumā pie sniedzēja būtu jāmaina API atslēgas un jāievēro tā noteikumi drošības incidentu gadījumam. Vai pastāv ziņošanas pienākumi, noskaidrojiet kopā ar savu datu aizsardzības speciālistu vai advokātu.