CVE-2022-50972: Kritisk RCE-fejl i WooCommerce 7.1.0
Kritisk sårbarhed i WooCommerce 7.1.0 giver hackere mulighed for at overtage din webshop fuldstændigt via fjernangreb.
Hvad er det?
CVE-2022-50972 er en kritisk sikkerhedsfejl i WooCommerce version 7.1.0 — det populære plugin til WordPress-webshops. Fejlen ligger i, at en bestemt del af koden ikke tjekker og renser brugerinput ordentligt. Det betyder, at en angriber kan sende en særligt udformet forespørgsel til din hjemmeside og dermed få systemet til at skrive en ondsindet PHP-fil (et programscript) direkte på din webserver. Når filen er placeret der, kan angriberen køre vilkårlige kommandoer på serveren — helt uden at logge ind eller have nogen form for adgang i forvejen. Teknisk kaldes dette Remote Code Execution (RCE), altså fjernudførelse af kode.
Hvem rammer det?
Sårbarheden rammer alle, der driver en WordPress-hjemmeside med WooCommerce i præcis version 7.1.0. Det drejer sig typisk om:
- Ejere af webshops bygget på WordPress med WooCommerce
- Virksomheder, der sælger produkter eller services online via WooCommerce
- Bureauer og udviklere, der vedligeholder WooCommerce-sites for kunder
Angriberen behøver ingen brugerkonti, adgangskoder eller særlig viden om din opsætning. Det er nok at kende den sårbare URL — som er offentligt tilgængelig på alle standard WooCommerce-installationer.
Hvad kan ske?
Hvis sårbarheden udnyttes, kan en angriber i praksis overtage hele din webserver. Det konkrete betyder:
- Datatyveri: Kundedata, ordrehistorik, betalingsoplysninger og persondata kan kopieres og stjæles
- Ransomware eller sabotage: Angriberen kan kryptere eller slette filer på serveren og kræve løsepenge
- Phishing-angreb mod dine kunder: Din hjemmeside kan ændres til at narre dine kunder til at afgive kortoplysninger (såkaldt skimming)
- Misbrug af serveren: Serveren kan bruges til at sende spam, angribe andre hjemmesider eller mine kryptovaluta
- GDPR-brud: Et databrud kan udløse anmeldepligt til Datatilsynet og potentielt store bøder
Hvor alvorligt er det?
Denne sårbarhed er vurderet til 9.8 ud af 10 på CVSS-skalaen, som er den internationalt anerkendte målestok for alvor. Det placerer den i kategorien Kritisk. Vurderingen er så høj fordi:
- Angrebet kan udføres over internettet uden fysisk adgang
- Det kræver ingen forudgående login eller særlige rettigheder
- Der kræves ingen handling fra dig eller dine brugere for at angrebet lykkes
- Konsekvenserne rammer fortrolighed, integritet og tilgængelighed på højeste niveau
Kort sagt: En angriber kan i teorien finde og udnytte din shop automatisk ved blot at scanne internettet for sårbare versioner.
Hvad gør jeg nu?
Handl hurtigst muligt. Her er de konkrete trin du skal følge:
- Tjek din WooCommerce-version: Log ind på dit WordPress-dashboard, gå til Plugins og find WooCommerce. Se hvilken version du kører. Er det 7.1.0, er du berørt.
- Opdater WooCommerce straks: Klik ‘Opdater nu’ ved WooCommerce-pluginet, eller gå til Dashboard → Opdateringer. Opdater til den nyeste tilgængelige version.
- Tag en backup inden opdatering: Sørg for at have en frisk backup af både filer og database, så du kan gendanne hvis noget går galt under opdateringen.
- Tjek for tegn på kompromittering: Bed din hostingudbyder eller en tekniker om at gennemgå serverlogfiler for mistænkelig aktivitet, særligt forespørgsler til class-wc-meta-box-product-images.php.
- Skift adgangskoder: Skift adgangskoder til WordPress-admin, FTP/SFTP og din hostingkonto som en sikkerhedsforanstaltning.
- Overvej en Web Application Firewall (WAF): En WAF kan blokere kendte angrebsmønstre og give et ekstra lag beskyttelse fremover.
Opdater inden for 24-48 timer
Vi anbefaler, at du opdaterer WooCommerce med det samme — dette er ikke en opdatering, du kan udskyde. Med en CVSS-score på 9.8 og en angrebsvektor der ikke kræver nogen form for adgang eller brugerinteraktion, er risikoen for automatiserede massescanninger og -angreb meget høj. Kontakt din webbureau, hostingudbyder eller en IT-sikkerhedskonsulent, hvis du er usikker på hvordan du gennemfører opdateringen sikkert. Har du mistanke om, at din hjemmeside allerede er kompromitteret, bør du tage den offline og få foretaget en teknisk undersøgelse, inden du genåbner den.
Tidslinje
Konkrete eksempler
Automatiseret massescanning og webshell-installation
En angriber kører et automatiseret scanningsværktøj, der gennemsøger tusindvis af WordPress-sites for WooCommerce 7.1.0. Når din shop identificeres, sender scriptet automatisk en ondsindet forespørgsel til den sårbare fil på din server. Angrebet skriver en skjult PHP-fil (en såkaldt webshell) til din servers webmappe — og angriberen har nu fuld fjernadgang til din server uden at du opdager det.
Kreditkortskimming mod dine kunder
Via den installerede webshell modificerer angriberen din shops betalingsside, så den sender en kopi af kundernes kortoplysninger til en ekstern server kontrolleret af angriberen. Dine kunder opdager intet, og din shop ser ud til at fungere normalt — mens kortdata løbende stjæles. Først når kortindehaverne melder misbrug til deres bank, opdages angrebet typisk.
Ransomware-angreb mod din webserver
Angriberen udnytter den fulde serveradgang til at kryptere alle filer på din webserver — produktbilleder, kundedatabase, ordrehistorik og konfigurationsfiler. Din webshop går ned, og du modtager en løsesumsbesked på skærmen. Uden en nylig backup er gendannelse enten umulig eller meget kostbar, og betaling af løsesummen garanterer ikke at data returneres.
Ofte stillede spørgsmål
Hvordan ved jeg, om jeg kører WooCommerce 7.1.0?
Log ind på dit WordPress-dashboard og gå til Plugins → Installerede plugins. Find WooCommerce på listen — versionnummeret vises direkte under pluginnavnet. Du kan også gå til Dashboard → Opdateringer, hvor det fremgår hvilke plugins der har tilgængelige opdateringer.
Kan jeg blive angrebet, selv om min shop er lille og ukendt?
Ja, desværre. Angribere bruger automatiserede scanningsværktøjer, der gennemsøger hele internettet for sårbare WooCommerce-installationer — de leder ikke specifikt efter din shop. Størrelse og omsætning er irrelevant. Alle sårbare installationer er i teorien et mål.
Er det nok bare at opdatere, eller skal jeg gøre mere?
Opdateringen lukker sikkerhedshullet og bør være det første skridt. Men er du bekymret for om din side allerede er blevet kompromitteret, bør du også få gennemgået serverlogfiler for tegn på angreb. Det er god praksis at skifte adgangskoder og overveje at installere en sikkerhedsplugin som Wordfence, der kan scanne for ondsindet kode.
Hvad sker der, hvis jeg ikke opdaterer?
Din webshop forbliver sårbar over for et angreb, der kan give hackere fuld kontrol over din server. Det kan betyde tab af kundedata, nedetid, ødelagt omdømme og potentielle bøder efter GDPR-reglerne, hvis persondata kompromitteres. Jo længere du venter, desto større er risikoen.
Vil en opdatering af WooCommerce ødelægge min shop?
En opdatering kan i sjældne tilfælde skabe konflikter med andre plugins eller dit tema. Derfor anbefaler vi altid at tage en fuld backup inden opdatering. De fleste hostingudbydere tilbyder automatisk backup, og mange WooCommerce-shops opdateres uden problemer. Risikoen ved ikke at opdatere er dog langt større end risikoen ved at opdatere.
Har denne sårbarhed noget med GDPR at gøre?
Ja. Hvis en angriber udnytter sårbarheden og får adgang til kundedata — navne, adresser, e-mails eller betalingsoplysninger — udgør det et databrud efter GDPR. Du er som dataansvarlig forpligtet til at anmelde bruddet til Datatilsynet inden for 72 timer, hvis det udgør en risiko for de registrerede. Undladelse kan medføre bøder.
Ramte produkter
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
WooCommerce 7.1.0 contains a remote code execution vulnerability that allows attackers to execute arbitrary PHP code by injecting shell commands through the product-type parameter. Attackers can send requests to the class-wc-meta-box-product-images.php endpoint with unsanitized product-type values to write malicious PHP files to the web root.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.