Kurz gesagt: WooCommerce-Sicherheit hängt nach PHP2Shell zuerst am PHP des Servers, nicht am Shop-Plugin. Ein Shop hält Kundendaten, Bestellungen und Zugänge zu Zahlungsanbietern, deshalb reicht der PHP-Patch allein nicht. Prüfen Sie zusätzlich Checkout-Code, REST-API-Schlüssel und Webhooks.
Was PHP2Shell für einen WooCommerce-Shop bedeutet
WooCommerce ist ein Plugin für WordPress und läuft damit auf demselben PHP. Die Lücken CVE-2026-109618 und CVE-2026-109619 erlauben laut PHP-Team Schadcode aus der Ferne ohne Anmeldung. Für einen Shop ist das ernster als für eine Visitenkarten-Website, weil mehr auf dem Spiel steht:
- Namen, Liefer- und Rechnungsadressen, Telefonnummern und E-Mail-Adressen
- Bestellhistorie und Kundenkonten mit Passwort-Hashes
- API-Schlüssel und Geheimnisse der Zahlungs-, Versand- und Buchhaltungsanbindungen, gespeichert in der Datenbank
- Downloads digitaler Produkte im Ordner
wp-content/uploads/woocommerce_uploads/
Kartendaten liegen bei eingebundenen Zahlungsformularen der Anbieter meist nicht im Shop. Ein Angreifer mit Serverzugriff kann aber das Checkout-JavaScript so verändern, dass Eingaben vor dem Absenden mitgelesen werden. Allgemeine Hinweise für Händler finden Sie unter IT-Sicherheit für Onlineshops.
WooCommerce-Sicherheit beginnt bei der PHP-Version
Unter WooCommerce > Status zeigt der Systemstatus im Abschnitt zur Serverumgebung die PHP-Version an, mit der der Shop tatsächlich läuft. Behobene Upstream-Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Hoster spielen Korrekturen aber oft als Backport ein, dann bleibt die angezeigte Nummer alt. Verlassen Sie sich deshalb auf die schriftliche Bestätigung des Hosters und den Neustart aller PHP-Prozesse.
Welche PHP-Versionen Ihre WooCommerce-Version unterstützt, prüfen Sie laut Systemanforderungen des Herstellers auf woocommerce.com. Ein Wechsel auf eine neuere PHP-Hauptversion sollte in einer Testumgebung erfolgen, weil Zahlungs-Plugins sonst unbemerkt ausfallen können.
Wo Angreifer in WooCommerce-Shops ansetzen
Neben den bekannten WordPress-Verstecken gibt es shop-typische Stellen:
- Template-Überschreibungen im Theme: Ordner
woocommerce/checkout/im aktiven Theme. Hier geänderte Dateien wirken direkt auf Kasse und Bestellbestätigung. - Zahlungs-Plugins: veränderte Dateien in
wp-content/plugins/des Zahlungsanbieters. - REST-API-Schlüssel: unter WooCommerce > Einstellungen > Erweitert > REST-API. Ein fremder Schlüssel mit Lese- oder Schreibrechten ist eine Hintertür ohne Datei.
- Webhooks: unter Erweitert > Webhooks. Ein unbekannter Webhook kann jede neue Bestellung an eine fremde Adresse schicken.
- Rollen: neue Konten mit der Rolle „Shop-Manager“ oder „Administrator“.
- Protokolle:
wp-content/uploads/wc-logs/kann personenbezogene Daten enthalten und sollte nicht öffentlich abrufbar sein.
Ungefährliche Prüfungen auf der Kommandozeile:
# Administratoren und Shop-Manager auflisten
wp user list --role=administrator
wp user list --role=shop_manager
# Seit dem 17.10.2026 geänderte PHP-Dateien im Theme anzeigen
find wp-content/themes -name "*.php" -newermt "2026-10-17"
Ein PHP-Patch löscht weder einen fremden REST-API-Schlüssel noch einen eingeschleusten Webhook. Beide arbeiten auch nach dem Update weiter. Prüfen Sie die Listen deshalb aktiv und erneuern Sie bei Verdacht die API-Schlüssel bei Ihren Zahlungsanbietern.
Erweiterungen und Shop-Updates: was sie leisten und was nicht
Ein typischer WooCommerce-Shop nutzt viele Erweiterungen: Zahlungsarten, Versandetiketten, Rechnungserstellung, Marktplatz-Anbindungen, Bewertungs- und Marketing-Plugins. Jede davon ist zusätzlicher Code mit eigenen Lücken und oft mit eigenen Zugängen zu externen Diensten. Halten Sie die Liste kurz und entfernen Sie Testinstallationen alter Zahlungsarten.
Ein Update von WooCommerce oder WordPress schließt bekannte Fehler in diesen Komponenten. Es repariert nicht PHP, entfernt keine fremden Dateien außerhalb des Plugin-Ordners und löscht keine Datenbankeinträge wie API-Schlüssel oder Webhooks. Wie Sie erkennen, ob schon etwas passiert ist, beschreibt Bin ich schon kompromittiert?.
Wenn das PHP-Update beim Hoster noch aussteht, kann ein vorgeschalteter Filter Zeit verschaffen. Er ersetzt den Patch nicht; mehr dazu unter WAF und virtuelles Patching.
Pflichten bei einem Vorfall im Shop
Kommen personenbezogene Daten von Kunden abhanden, kann eine Meldung an die Datenschutzaufsicht innerhalb von 72 Stunden nötig sein. Das ist allgemeine Information, keine Rechtsberatung. Binden Sie früh Ihren Datenschutzbeauftragten ein und lesen Sie unsere Übersicht zur DSGVO-Meldepflicht. Beachten Sie außerdem die Vorgaben Ihrer Zahlungsanbieter für Sicherheitsvorfälle.
Testen Sie nach jedem Eingriff einen vollständigen Bestellvorgang mit allen Zahlungsarten, die Sie anbieten. Achten Sie auf ungewöhnliche Zwischenschritte, zusätzliche Eingabefelder oder Weiterleitungen auf fremde Domains. Die Entwicklerwerkzeuge des Browsers zeigen, welche Skripte von welchen Adressen geladen werden; unbekannte Quellen auf der Kassenseite sind ein Warnsignal. Dokumentieren Sie den Test mit Datum und Ergebnis.
Wie hilft PHP SOS konkret?
- Wir klären mit Ihrem Hoster den PHP-Patchstand und lassen den Neustart aller PHP-Prozesse bestätigen.
- Wir sichern Logs, Datenbank und Dateien, bevor wir etwas ändern.
- Wir prüfen Checkout-Templates, Zahlungs-Plugins, REST-API-Schlüssel, Webhooks und Benutzerrollen.
- Bei Funden bereinigen wir den Shop, erneuern Zugänge mit Ihnen und dokumentieren den Ablauf für Datenschutz und Versicherung.
Häufige Fragen
Sind Kreditkartendaten in WooCommerce durch PHP2Shell gefährdet?
Das hängt von der Einbindung des Zahlungsanbieters ab. Werden Karten in einem Formular des Anbieters erfasst, liegen sie meist nicht im Shop. Ein Angreifer mit Zugriff auf den Server kann aber den Checkout so verändern, dass Eingaben vorher abgegriffen werden.
Wo sehe ich in WooCommerce die PHP-Version?
Unter WooCommerce > Status im Abschnitt zur Serverumgebung. Die Nummer zeigt die Version, mit der der Shop läuft. Ob ein Backport eingespielt ist, erkennen Sie daran nicht; das muss der Hoster bestätigen.
Warum sollte ich die WooCommerce-Webhooks prüfen?
Webhooks senden bei Ereignissen wie neuen Bestellungen Daten an eine eingetragene Adresse. Ein heimlich angelegter Webhook kann Bestelldaten dauerhaft an Dritte schicken, auch nachdem PHP gepatcht wurde.
Muss ich nach einem Verdacht die Zahlungsanbieter informieren?
Bei einem begründeten Verdacht sollten Sie API-Schlüssel beim Anbieter erneuern und dessen Vorgaben für Sicherheitsvorfälle beachten. Ob Meldepflichten bestehen, klären Sie mit Ihrem Datenschutzbeauftragten oder Anwalt.