Na kratko: Če je vaša spletna trgovina vdrta ali teče na nepopravljeni različici PHP, gre hkrati za tri stvari: podatke strank, blagajno in vaš promet. Trgovino nadzorovano preklopite v vzdrževalni način, zavarujte dnevnike od 20. 10. 2026 in razjasnite, kdo na vašem strežniku posodablja in znova zaganja PHP.
Kaj je v spletni trgovini ogroženo
Trgovina je več kot spletna stran. Upravlja uporabniške račune z zgoščenimi vrednostmi gesel, dostavne in računske naslove, zgodovino naročil, kupone in pogosto tudi vmesnike do sistemov za upravljanje zalog, dostavnih služb in tržnic. Kdor lahko na strežniku izvaja kodo, praviloma pride do podatkovne zbirke in tam shranjenih ključev API.
Podatki o karticah so večinoma pri ponudniku plačil, ne pri vas. To pomirja samo delno: napadalec lahko v postopek naročanja vnese JavaScript, ki bere vnose v brskalniku. Takšne skimming skripte so pri delovanju trgovine komaj opazne, ker naročila potekajo povsem običajno.
Poleg tega so tu vmesniki. Trgovina, ki naročila predaja sistemom za upravljanje zalog, dostavnim službam in tržnicam, dostopne ključe za to praviloma shranjuje v konfiguracijskih datotekah na strežniku. Kdor jih skopira, lahko v imenu trgovca ustvarja dostavne nalepke, spreminja zaloge ali zlorablja račune na tržnicah.
Običajni sistemi trgovin in zakaj jih PHP2Shell zadene
Razširjeni sistemi trgovin v srednje velikih evropskih podjetjih tečejo na PHP: Shopware 6, WooCommerce, Magento, OXID, PrestaShop in številne starejše namestitve Shopware 5. PHP2Shell (CVE-2026-109618 in CVE-2026-109619, vsaka CVSS 9,2) je v samem PHP. Napadalci ne potrebujejo uporabniškega računa ali skrbniškega dostopa.
Za trgovce to pomeni: najnovejša posodobitev trgovine ne ščiti. Odločilno je, ali je PHP na strežniku na 8.5.12, 8.4.27, 8.3.36 ali 8.2.35 oziroma je ponudnik gostovanja vgradil backport, in ali so bili nato znova zagnani vsi procesi PHP. Pri starih trgovinah na PHP 8.1 ali starejšem uradnih posodobitev projekta PHP ni več. Poleg nujnega primera je potem na vrsti migracija, ki je ne želite opraviti pod časovnim pritiskom v sezoni vrha.
Spletna trgovina vdrta: kaj incident konkretno pomeni
Ogrožena trgovina povzroči škodo na več ravneh, ki se medsebojno krepijo:
- Promet: Vsaka ura vzdrževalnega načina stane naročila. Trgovina, ki neopazno teče naprej, pa je lahko občutno dražja.
- Podatki strank: Odtujeni naslovi in naročila se uporabljajo za ciljna phishing sporočila, ki delujejo pristno, ker omenjajo prava naročila.
- Vidnost: Če Google zazna škodljivo kodo, se v iskalnih rezultatih pojavi opozorilo. Kako se ga znebite, piše v priročniku Odstranitev Googlovega opozorila.
- Partnerji: Ponudniki plačil in tržnice imajo lastna pravila za varnostne incidente. Kdor prijavi prepozno, tvega težave pri obračunu.
Kdo je odgovoren: agencija, ponudnik gostovanja ali trgovec?
V številnih trgovinah vprašanje PHP pade med stole. Agencija je trgovino zgradila in vzdržuje vtičnike, ponudnik gostovanja upravlja strežnik, trgovec pa predpostavlja, da bo za to poskrbel eden od obeh. Pri upravljanem gostovanju običajno popravlja ponudnik gostovanja, pri lastnem vServerju samodejno nihče.
| Naloga | Običajno odgovoren | Preverite |
|---|---|---|
| Posodobitev paketa PHP | ponudnik gostovanja ali skrbnik strežnika | pisna potrditev s stanjem paketa |
| Ponovni zagon procesov PHP | kdor upravlja strežnik | čas ponovnega zagona |
| Trgovina in vtičniki | agencija | vzdrževalna pogodba in dostopi |
| Obvestilo ponudniku plačil | trgovec | pogodbene obveznosti prijave |
Popravek PHP ne dokazuje, da prej ni bilo nič narobe. Če je bila trgovina napadena med 17. 10. in trenutkom popravka, lahko vnesena koda teče naprej. Dajte to preveriti, preden razglasite, da je vse v redu.
Prve ure: vrstni red za trgovce
- Trgovino preklopite v vzdrževalni način ali jo, če to ni mogoče, začasno odklopite z omrežja.
- Zavarujte dnevnike spletnega strežnika, PHP in trgovine od 20. 10. 2026, preden jih rotacija izbriše.
- Ponudnika gostovanja prosite za pisno potrditev stanja paketa PHP in ponovnega zagona.
- Skrbniška gesla, ključe API za plačila, dostavo in tržnice ter dostope do podatkovne zbirke obnovite, in sicer šele po čiščenju.
- Preverite blagajno, vtičnike za plačila in vključene skripte glede sprememb.
Če obstajajo znaki uhajanja podatkov, teče 72-urni rok po GDPR. Pravno oceno opravite s pooblaščencem za varstvo podatkov in po potrebi z odvetnikom.
Kako konkretno pomaga PHP SOS?
- Na daljavo preverimo dejansko stanje paketa PHP, način delovanja (na primer mod_php ali PHP-FPM) in ali so bili vsi workerji znova zagnani.
- Datoteke trgovine, podatkovno zbirko in blagajno pregledamo glede webshellov, skimming kode in novih skrbniških računov ter odstranimo najdeno škodljivo programsko opremo.
- Uskladimo se z vašo agencijo in ponudnikom gostovanja, da vzdrževanje trgovine in delovanje strežnika ne tečeta drug mimo drugega.
- Ugotovitve in ukrepe dokumentiramo tako, da jih lahko predložite ponudniku plačil, zavarovalnici in pooblaščencu za varstvo podatkov.
- Nato strežnik utrdimo in na željo prevzamemo stalni nadzor.
Pogosta vprašanja
Ali moram trgovino zaradi PHP2Shell odklopiti z omrežja?
BSI (nemški zvezni urad za informacijsko varnost) priporoča, da se spletne strežnike začasno odklopi z omrežja, če posodobitev PHP ni takoj mogoča. Za trgovino je vzdrževalni način s stranjo z obvestilom pogosto boljša pot kot sporočilo o napaki. Ko je PHP popravljen in so vsi procesi znova zagnani, se lahko trgovina spet odpre.
So podatki o kreditnih karticah v moji trgovini ogroženi?
V večini trgovin podatki o karticah niso na lastnem strežniku, ampak pri ponudniku plačil. Nevarna pa je spremenjena koda v blagajni, ki vnose prestreže, preden dosežejo ponudnika. Zato blagajna sodi v vsako preverjanje po napadu.
Ali zadostuje posodobitev Shopware ali WooCommerce?
Ne. PHP2Shell zadeva sam PHP, ne sistema trgovine. Posodobitev trgovine ranljivosti ne zapre, popravek PHP pa ne odstrani že vnesene škodljive kode.
Koga moram obvestiti po uhajanju podatkov?
Pri osebnih podatkih pride v poštev prijava nadzornemu organu za varstvo podatkov v 72 urah, glede na tveganje tudi obveščanje prizadetih oseb. Poleg tega so tu pogodbene obveznosti do ponudnika plačil in zavarovalnice. Presojo v posameznem primeru opravite s pooblaščencem za varstvo podatkov in odvetnikom.