Krótko: Jeśli Państwa sklep internetowy został zhakowany lub działa na niezałatanej wersji PHP, chodzi jednocześnie o trzy sprawy: dane klientów, kasę i obroty. Proszę w kontrolowany sposób przełączyć sklep w tryb konserwacji, zabezpieczyć logi od 20.10.2026 i ustalić, kto aktualizuje i restartuje PHP na Państwa serwerze.
Co jest stawką w sklepie internetowym
Sklep to coś więcej niż strona internetowa. Zarządza kontami klientów z hashami haseł, adresami dostawy i rozliczeniowymi, historią zamówień, kuponami, a często także interfejsami do systemu magazynowego, firm kurierskich i platform handlowych. Kto może wykonywać kod na serwerze, zwykle dociera do bazy danych i zapisanych tam kluczy API.
Dane kart znajdują się zwykle nie u Państwa, lecz u operatora płatności. To uspokaja tylko częściowo: atakujący może wprowadzić do procesu zamówienia JavaScript, który podsłuchuje dane wpisywane w przeglądarce. Takie skrypty skimmingowe są w działaniu sklepu prawie niezauważalne, ponieważ zamówienia przechodzą zupełnie normalnie.
Dochodzą do tego interfejsy. Sklep, który przekazuje zamówienia do systemu magazynowego, firm kurierskich i platform handlowych, przechowuje klucze dostępu do nich zwykle w plikach konfiguracyjnych na serwerze. Kto je skopiuje, może w imieniu sprzedawcy generować etykiety wysyłkowe, zmieniać stany magazynowe lub nadużywać kont na platformach handlowych.
Typowe systemy sklepowe i dlaczego PHP2Shell ich dotyczy
Rozpowszechnione systemy sklepowe w europejskich małych i średnich firmach działają na PHP: Shopware 6, WooCommerce, Magento, OXID, PrestaShop i wiele starszych instalacji Shopware 5. PHP2Shell (CVE-2026-109618 i CVE-2026-109619, każda CVSS 9,2) tkwi w samym PHP. Atakujący nie potrzebują konta klienta ani dostępu administratora.
Dla sprzedawców oznacza to: najnowsza aktualizacja sklepu nie chroni. Rozstrzygające jest to, czy PHP na serwerze ma wersję 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 albo czy firma hostingowa wprowadziła backport, oraz czy po tym zrestartowano wszystkie procesy PHP. W przypadku starych sklepów na PHP 8.1 lub starszym projekt PHP nie wydaje już oficjalnych aktualizacji. Wtedy oprócz awarii czeka Państwa migracja, której nie chcą Państwo przeprowadzać pod presją czasu w szczycie sezonu.
Sklep zhakowany: co incydent oznacza w praktyce
Skompromitowany sklep powoduje szkody na kilku poziomach, które wzajemnie się nasilają:
- Obroty: Każda godzina trybu konserwacji kosztuje zamówienia. Sklep, który niezauważenie działa dalej, może jednak kosztować wyraźnie więcej.
- Dane klientów: Wykradzione adresy i zamówienia są wykorzystywane do ukierunkowanych e-maili phishingowych, które wyglądają wiarygodnie, ponieważ wymieniają prawdziwe zamówienia.
- Widoczność: Jeśli Google rozpozna złośliwy kod, w wynikach wyszukiwania pojawia się ostrzeżenie. Jak się go pozbyć, opisuje poradnik Usuwanie ostrzeżenia Google.
- Partnerzy: Operatorzy płatności i platformy handlowe mają własne wymogi dotyczące incydentów bezpieczeństwa. Kto zgłasza zbyt późno, ryzykuje kłopoty przy rozliczeniach.
Kto odpowiada: agencja, firma hostingowa czy sprzedawca?
W wielu sklepach pytanie o PHP przepada między wszystkimi. Agencja zbudowała sklep i utrzymuje wtyczki, firma hostingowa prowadzi serwer, a sprzedawca zakłada, że zajmie się tym jedno z nich. Przy hostingu zarządzanym poprawki instaluje zwykle firma hostingowa, przy własnym vServerze nikt automatycznie.
| Zadanie | Zwykle odpowiada | Co sprawdzić |
|---|---|---|
| Zaktualizować pakiet PHP | Firma hostingowa lub opiekun serwera | Pisemne potwierdzenie ze stanem pakietu |
| Zrestartować procesy PHP | Kto zarządza serwerem | Czas restartu |
| Sklep i wtyczki | Agencja | Umowa serwisowa i dostępy |
| Poinformować operatora płatności | Sprzedawca | Umowne obowiązki zgłoszeniowe |
Poprawka PHP nie dowodzi, że wcześniej nic się nie stało. Jeśli sklep został zaatakowany między 17.10. a momentem poprawki, wprowadzony kod może działać dalej. Proszę to sprawdzić, zanim ogłoszą Państwo koniec zagrożenia.
Pierwsze godziny: kolejność działań dla sprzedawców
- Przełączyć sklep w tryb konserwacji lub, jeśli to niemożliwe, tymczasowo odłączyć go od sieci.
- Zabezpieczyć logi serwera WWW, PHP i sklepu od 20.10.2026, zanim usunie je rotacja.
- Poprosić firmę hostingową o pisemne potwierdzenie stanu pakietu PHP i restartu.
- Odnowić hasła administratorów, klucze API do płatności, wysyłki i platform handlowych oraz dostępy do bazy danych, i to dopiero po oczyszczeniu.
- Sprawdzić kasę, wtyczki płatnicze i dołączone skrypty pod kątem zmian.
Jeśli są wskazówki, że doszło do wycieku danych, biegnie termin 72 godzin z RODO. Ocenę prawną przeprowadzają Państwo z inspektorem ochrony danych i w razie potrzeby z prawnikiem.
Jak PHP SOS pomaga w praktyce?
- Sprawdzamy zdalnie rzeczywisty stan pakietu PHP, tryb pracy (na przykład mod_php lub PHP-FPM) i to, czy wszystkie procesy worker zostały zrestartowane.
- Badamy pliki sklepu, bazę danych i kasę pod kątem webshelli, kodu skimmingowego i nowych kont administratorów oraz usuwamy znalezione złośliwe oprogramowanie.
- Uzgadniamy działania z Państwa agencją i firmą hostingową, aby serwis sklepu i eksploatacja serwera nie mijały się.
- Dokumentujemy ustalenia i działania tak, aby mogli je Państwo przedstawić operatorowi płatności, ubezpieczycielowi i inspektorowi ochrony danych.
- Następnie utwardzamy serwer i na życzenie przejmujemy bieżący nadzór.
Częste pytania
Czy muszę odłączyć sklep od sieci z powodu PHP2Shell?
BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej) zaleca tymczasowe odłączenie serwerów WWW od sieci, jeśli aktualizacja PHP nie jest od razu możliwa. W przypadku sklepu tryb konserwacji ze stroną informacyjną jest często lepszym rozwiązaniem niż komunikat o błędzie. Gdy tylko PHP zostanie załatane, a wszystkie procesy zrestartowane, sklep może zostać ponownie otwarty.
Czy dane kart kredytowych w moim sklepie są zagrożone?
W większości sklepów dane kart nie znajdują się na własnym serwerze, lecz u operatora płatności. Niebezpieczny jest jednak zmanipulowany kod w kasie, który przechwytuje wpisywane dane, zanim dotrą do operatora. Dlatego kasa należy do każdej kontroli po ataku.
Czy wystarczy zaktualizować Shopware lub WooCommerce?
Nie. PHP2Shell dotyczy samego PHP, a nie systemu sklepowego. Aktualizacja sklepu nie zamyka luki, a poprawka PHP nie usuwa złośliwego kodu, który został już wprowadzony.
Kogo muszę poinformować po wycieku danych?
W przypadku danych osobowych w grę wchodzi zgłoszenie do organu nadzorczego ds. ochrony danych w ciągu 72 godzin, a zależnie od ryzyka także poinformowanie osób, których dane dotyczą. Dochodzą do tego obowiązki umowne wobec operatora płatności i ubezpieczyciela. Ocenę w konkretnym przypadku przeprowadzają Państwo wspólnie z inspektorem ochrony danych i prawnikiem.