Mellan 12 och 25 oktober 2026 hade WordPress-butiker tre separata händelser att förhålla sig till: en allvarlig sårbarhet i PHP, skadliga filer i en version av ett SEO-tillägg och ett intrång hos tillverkaren av ett backuptillägg. Shopify skrev samtidigt till sina apputvecklare att angreppen ökar när AI blivit bättre på att hitta sårbarheter. Guiden tar det i den ordning det brådskar. Allt bygger på leverantörernas och myndigheternas egna sidor.
Steg 1: ta reda på vilken PHP-version butiken kör
Den 21 oktober släppte PHP-projektet rättningar för två sårbarheter, CVE-2026-109618 och CVE-2026-109619. Båda har 9,2 av 10 i allvarlighet. Felen sitter i PHP självt, så även en butik med ren egen kod kan drabbas, skriver Sansec. WordPress och WooCommerce är byggda i PHP, men WooCommerce skriver att ingen uppdatering av WordPress eller WooCommerce behövs. Åtgärden är att PHP uppdateras.
Du hittar versionen under Verktyg, Hälsokontroll för webbplats (Tools, Site Health i engelskt gränssnitt), fliken Info och avsnittet Server, enligt WordPress egen nyhetspost. De rättade versionerna är 8.2.35, 8.3.36, 8.4.27 och 8.5.12. WooCommerce rekommenderar PHP 8.3 eller nyare. För PHP 8.1 och äldre finns ingen rättad utgåva från PHP-projektet, men flera paketunderhållare har lagt in rättningen i äldre versioner, och då ser versionsnumret oförändrat ut. Numret räcker alltså inte som bevis. Fråga webbhotellet om versionen innehåller rättningen för de två sårbarheterna.
Tänk på tempot. Sansec skriver att Cloudflare rapporterade tidiga attacker klockan 07:43 UTC den 21 oktober, före rättningen klockan 14:00. Patchstack rapporterar att detaljerna läckte redan den 20 oktober och att webbhotell anmält flera aktiva angrepp. Sansec bedömer samtidigt att massutnyttjande är mindre troligt än väntat, eftersom attacken kräver kunskap om servern, och Wordfence hade den 22 oktober blockerat över 74 000 försök utan att se något bekräftat intrång. Sansecs råd är ändå att uppdatera. Om det inte går att uppdatera rekommenderar CERT-SE att du isolerar de PHP-baserade applikationer som är nåbara från internet.
Steg 2: kolla om du hämtade Rank Math SEO PRO 3.0.123
Rank Math har meddelat att vissa kopior av SEO PRO 3.0.123 innehöll skadlig kod. Det gäller hämtningar och uppdateringar mellan 15 oktober klockan 20:02 UTC och 16 oktober klockan 07:12 UTC. Wordfence sammanfattar att en aktiverad kopia ska behandlas som en komprometterad sajt. Att uppdatera till den rena versionen 3.0.124 räcker inte, eftersom koden kan ha lagt filer, administratörskonton och schemalagda jobb på andra ställen. Wordfence beskriver bara PRO-versionen som drabbad.
Kontrollera när 3.0.123 kom in på din sajt. Gå sedan igenom Användare och leta efter administratörer du inte skapat. En butik har kundregister och orderhistorik i databasen, och Wordfence skriver att koden kan exponera databasuppgifter och API-nycklar som webbservern når. Då behöver den som sköter servern göra en full sanering.
Steg 3: kolla om UpdraftCentral är kopplat till din sajt
TeamUpdraft har meddelat att någon tog sig in på deras webbplats helgen 17 till 18 oktober. Kunddatabasen innehöll anslutningsnycklar för UpdraftCentral. Wordfence skriver att angripare använde giltiga nycklar för att skicka kommandon som laddade upp, aktiverade och raderade skadliga tillägg. Det gäller sajter som har eller hade en UpdraftCentral-nyckel under intrånget, och att nyckeln saknas i dag visar inte att sajten klarat sig.
Uppdatera UpdraftPlus till 1.26.12 (gratis) eller 2.26.12 (premium), som kopplar bort äldre anslutningar. Patchstack formulerar åtgärden kort: radera dina UpdraftCentral-nycklar. Granska också tilläggslistan efter okända tillägg.
Steg 4: gå igenom e-handelstilläggen
Wordfences veckorapport för 12 till 18 oktober, publicerad den 23 oktober, innehåller 497 nya sårbarheter i 327 tillägg och 23 teman. Av dem är 23 kritiska och 69 saknade rättning. Bland WooCommerce-tilläggen med högsta betyg (9,8) fanns Abandoned Cart Pro for WooCommerce (rättad, version 10.8.0 och äldre drabbades), OTP Login & Register Woocommerce (kontoövertagande, rättad, 2.7.2 och äldre) och JTL-Connector for WooCommerce (filuppladdning, ingen rättning när rapporten kom, 2.4.3 och äldre).
Jämför din tilläggslista med rapporten. Uppdatera det som har en rättning. Tillägg utan rättning som du kan klara dig utan stänger du av och tar bort tills tillverkaren släpper en.
Steg 5: Shopify, appar och konton
Den 20 oktober skrev Shopify i sin utvecklarblogg att antalet angrepp mot app-ekosystemet ökar när AI blir bättre på att hitta sårbarheter. Alla apputvecklare uppmanades agera samma vecka: skanna appen, gå över till access-token som löper ut, slå på tvåstegsinloggning för Partner-konto, hosting, kodförråd och e-post, och hålla nödkontakten uppdaterad. Shopify ska också skärpa gränserna för app-kod i butikens frontend och höja kraven i App Store.
Som butiksägare gör du inget av detta själv. Resten av steget är mitt råd och står inte i Shopifys inlägg. Gå igenom installerade appar och ta bort de du inte använder. Kontrollera vilka behörigheter varje app har. Slå på tvåstegsverifiering för alla som loggar in i administrationen. Be den byrå eller utvecklare som byggt appar åt dig bekräfta att de gått igenom Shopifys lista.
Steg 6: se var AI faktiskt syns i nyheterna
Ingen av källorna jag läste beskriver PHP-felet, Rank Math-intrånget eller UpdraftCentral-intrånget som AI-drivna angrepp. Det som ändrats är enligt Microsoft tempot. Microsoft publicerade den 21 oktober att gruppen Storm-0940 använt ramverket ARTEX, som låter flera AI-agenter sköta ett intrång från spaning till datastöld, mot hundratals organisationer sedan september. I flera fall tog det mindre än tre timmar från första försöket till privilegierad åtkomst. Microsofts fall gäller IT-leverantörers åtkomst hos andra bolag. Min slutsats är att varje utomstående som har administratörsåtkomst till din sajt är en väg in, och att tiden mellan rättning och angrepp krymper. Därför bör uppdateringarna i steg 1 till 4 göras inom dagar.
Har butiken en AI-chatt gäller en annan sak. OWASP listar prompt injection som LLM01:2025: indata som ändrar modellens beteende på ett oväntat sätt, även när instruktionen inte syns för en människa. Mitt råd är att ge chatten läsrätt till publik information som produkter och villkor, ingen åtkomst till orderdata eller kundregister och ingen rätt att ändra något.
Steg 7: lägg in en fast kontroll
Wordfence publicerar sin veckorapport gratis, och CERT-SE skickar ett veckobrev som vecka 43 bland annat handlade om PHP. Sätt en återkommande tid, till exempel fredag förmiddag, då du läser tilläggslistan mot veckans rapport och kontrollerar PHP-versionen. Med ett fast tillfälle slipper du upptäcka sårbarheterna först när någon annan berättar om dem.
Claude skriver utkastet ur det jag arbetat med under veckan, och jag läser och godkänner varje inlägg innan det publiceras.
