Kort sagt: WooCommerce-säkerheten hänger efter PHP2Shell först och främst på serverns PHP, inte på butiksplugin. En butik innehåller kunduppgifter, beställningar och åtkomst till betalleverantörer, därför räcker inte PHP-patchen ensam. Kontrollera dessutom kassakoden, REST API-nycklar och webhooks.
Vad PHP2Shell betyder för en WooCommerce-butik
WooCommerce är ett plugin för WordPress och körs därmed på samma PHP. Sårbarheterna CVE-2026-109618 och CVE-2026-109619 gör det enligt PHP-teamet möjligt att köra skadlig kod på distans utan inloggning. För en butik är det allvarligare än för en visitkortswebbplats, eftersom mer står på spel:
- namn, leverans- och fakturaadresser, telefonnummer och e-postadresser
- orderhistorik och kundkonton med lösenordshashar
- API-nycklar och hemligheter för kopplingar till betalning, frakt och bokföring, lagrade i databasen
- nedladdningar av digitala produkter i mappen
wp-content/uploads/woocommerce_uploads/
Kortuppgifter ligger vid inbundna betalformulär från leverantörerna oftast inte i butiken. En angripare med serveråtkomst kan ändå ändra kassans JavaScript så att inmatningen läses av innan den skickas. Allmänna råd för handlare finns under IT-säkerhet för webbutiker.
WooCommerce-säkerhet börjar med PHP-versionen
Under WooCommerce > Status visar systemstatusen i avsnittet om servermiljön den PHP-version som butiken faktiskt körs med. Åtgärdade upstream-versioner är 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Webbhotell levererar dock ofta rättningar som backport, och då står det gamla numret kvar. Lita därför på webbhotellets skriftliga bekräftelse och på omstarten av alla PHP-processer.
Vilka PHP-versioner er WooCommerce-version stöder kontrollerar ni enligt tillverkarens systemkrav på woocommerce.com. Ett byte till en nyare PHP-huvudversion bör göras i en testmiljö, eftersom betalplugin annars kan sluta fungera utan att det märks.
Var angripare sätter in hakarna i WooCommerce-butiker
Vid sidan av de kända WordPress-gömställena finns butikstypiska ställen:
- Mallöverskrivningar i temat: mappen
woocommerce/checkout/i det aktiva temat. Filer som ändrats här påverkar kassan och orderbekräftelsen direkt. - Betalplugin: ändrade filer i betalleverantörens mapp under
wp-content/plugins/. - REST API-nycklar: under WooCommerce > Inställningar > Avancerat > REST API. En främmande nyckel med läs- eller skrivbehörighet är en bakdörr utan fil.
- Webhooks: under Avancerat > Webhooks. En okänd webhook kan skicka varje ny beställning till en främmande adress.
- Roller: nya konton med rollen ”Butikschef” eller ”Administratör”.
- Loggar:
wp-content/uploads/wc-logs/kan innehålla personuppgifter och får inte vara åtkomlig offentligt.
Ofarliga kontroller på kommandoraden:
# Lista administratörer och butikschefer
wp user list --role=administrator
wp user list --role=shop_manager
# Visa PHP-filer i temat som ändrats sedan den 17 oktober 2026
find wp-content/themes -name "*.php" -newermt "2026-10-17"
En PHP-patch raderar varken en främmande REST API-nyckel eller en insmugglad webhook. Båda fortsätter att fungera även efter uppdateringen. Gå därför aktivt igenom listorna och förnya vid misstanke API-nycklarna hos era betalleverantörer.
Tillägg och butiksuppdateringar: vad de klarar och inte klarar
En typisk WooCommerce-butik använder många tillägg: betalsätt, fraktetiketter, fakturaskapande, kopplingar till marknadsplatser samt plugin för recensioner och marknadsföring. Varje sådant tillägg är extra kod med egna sårbarheter och ofta med egen åtkomst till externa tjänster. Håll listan kort och ta bort testinstallationer av gamla betalsätt.
En uppdatering av WooCommerce eller WordPress stänger kända fel i dessa komponenter. Den reparerar inte PHP, tar inte bort främmande filer utanför plugin-mappen och raderar inga databasposter som API-nycklar eller webhooks. Hur ni märker om något redan har hänt beskrivs i Är jag redan komprometterad?.
Om PHP-uppdateringen hos webbhotellet ännu inte är gjord kan ett förkopplat filter ge tid. Det ersätter inte patchen; mer om detta under WAF och virtuell patchning.
Skyldigheter vid en incident i butiken
Om kunders personuppgifter försvinner kan en anmälan till dataskyddsmyndigheten inom 72 timmar vara nödvändig. Det är allmän information, inte juridisk rådgivning. Ta tidigt med ert dataskyddsombud och läs vår översikt över GDPR-anmälningsplikten. Beakta dessutom era betalleverantörers regler för säkerhetsincidenter.
Testa efter varje ingrepp ett fullständigt beställningsflöde med alla betalsätt som ni erbjuder. Var uppmärksam på ovanliga mellansteg, extra inmatningsfält eller omdirigeringar till främmande domäner. Webbläsarens utvecklarverktyg visar vilka skript som laddas från vilka adresser; okända källor på kassasidan är en varningssignal. Dokumentera testet med datum och resultat.
Hur hjälper PHP SOS konkret?
- Vi reder ut PHP-patchstatus med ert webbhotell och låter omstarten av alla PHP-processer bekräftas.
- Vi säkrar loggar, databas och filer innan vi ändrar något.
- Vi kontrollerar kassamallar, betalplugin, REST API-nycklar, webhooks och användarroller.
- Vid fynd saneras butiken, åtkomsterna förnyas tillsammans med er och förloppet dokumenteras för dataskydd och försäkring.
Vanliga frågor
Är kreditkortsuppgifter i WooCommerce i fara på grund av PHP2Shell?
Det beror på hur betalleverantören är inbunden. Om korten registreras i leverantörens formulär ligger de oftast inte i butiken. En angripare med åtkomst till servern kan ändå förändra kassan så att inmatningen fångas upp i förväg.
Var ser jag PHP-versionen i WooCommerce?
Under WooCommerce > Status i avsnittet om servermiljön. Numret visar den version som butiken körs med. Om en backport är installerad framgår inte av det; det måste webbhotellet bekräfta.
Varför bör jag kontrollera WooCommerce-webhooks?
Webhooks skickar vid händelser som nya beställningar data till en inlagd adress. En i smyg skapad webhook kan skicka beställningsdata till tredje part varaktigt, även efter att PHP har patchats.
Måste jag informera betalleverantörerna vid misstanke?
Vid en välgrundad misstanke bör ni förnya API-nycklarna hos leverantören och följa dennes regler för säkerhetsincidenter. Om det finns anmälningsplikt klarar ni ut tillsammans med ert dataskyddsombud eller en advokat.