PHP2Shell a sklepy internetowe
E-commerce przetwarza dane klientów, dane płatnicze i adresy dostawy. Podatność PHP2Shell (CVE-2026-109618 / CVE-2026-109619) jest szczególnie poważna dla sklepów — atakujący może zyskać dostęp do bazy danych zamówień i danych osobowych.
Jakie dane są zagrożone?
- !Dane osobowe klientów: imię, nazwisko, adres dostawy
- !Adresy e-mail i numery telefonów
- !Historia zamówień i kupione produkty
- !Tokeny sesji i zalogowane konta klientów
- !Hashe haseł (jeśli niesolone lub słabo hashowane)
- !Klucze API do bramek płatności (jeśli przechowywane na serwerze)
Uwaga RODO
Wyciek danych klientów z e-commerce to naruszenie ochrony danych osobowych w rozumieniu RODO (art. 33 i 34). Masz obowiązek zgłoszenia do UODO w ciągu 72 godzin od stwierdzenia naruszenia. Konsekwencje finansowe mogą sięgnąć 4% rocznego obrotu.
Ryzyko według platformy
Zdecydowana większość polskich sklepów. PHP jest fundamentem instalacji — podatność dotyczy bezpośrednio procesu obsługi żądań.
Popularny w Polsce i Europie. Architektura MVC PHP jest bezpośrednio eksponowana w żądaniach HTTP.
Enterprise e-commerce. Złożona architektura zwiększa powierzchnię ataku.
Platforma zarządza infrastrukturą — aktualizacje PHP są automatyczne po stronie providera.
Co zrobić?
- Sprawdź wersję PHP — użyj bezpłatnego testera lub zapytaj swojego hostingodawcę.
- Zaktualizuj PHP do wersji 8.2.35, 8.3.36, 8.4.27 lub 8.5.12. Większość hostingów udostępnia to w panelu zarządzającym.
- Zamów weryfikację serwera — publiczny tester sprawdza tylko nagłówki HTTP, nie weryfikuje stanu serwera wewnętrznie.
- Sprawdź logi dostępu pod kątem podejrzanych żądań z ostatnich tygodni.