Właściciele sklepów internetowych korzystających z WooCommerce powinni pilnie sprawdzić, czy mają zainstalowaną wtyczkę PDF Invoice for WooCommerce + Drag and Drop Template Builder. 30 października 2026 roku ujawniono krytyczną podatność CVE-2026-109220, która w określonych warunkach umożliwia zdalne wykonanie kodu na serwerze sklepu bez konieczności logowania. Luka otrzymała ocenę 9,8 punktu w skali CVSS, co oznacza krytyczny poziom zagrożenia. Szczególnie niebezpieczne jest to, że atak może zostać zainicjowany poprzez pole uwag do zamówienia, czyli element standardowego procesu zakupowego WooCommerce. W odpowiedniej konfiguracji wystarczy złożenie zamówienia przez niezalogowanego klienta, aby podatny mechanizm generowania faktur PDF przetworzył niebezpieczne dane.
Podatność dotyczy wersji wtyczki do 7.1.1 włącznie, natomiast poprawka została udostępniona w wydaniu 7.2.0. Problem nie występuje automatycznie we wszystkich sklepach WooCommerce ani we wszystkich rozszerzeniach generujących faktury PDF. Zagrożone są instalacje korzystające z konkretnej wtyczki, w których możliwe jest uruchomienie podatnego mechanizmu generowania dokumentów na podstawie danych przekazanych podczas składania zamówienia. Według analizy Wordfence atak może zostać przeprowadzony bez uwierzytelnienia, między innymi w sklepach umożliwiających płatność tradycyjnym przelewem bankowym lub czekiem, gdzie zamówienie otrzymuje odpowiedni status uruchamiający generowanie faktury.
Czym jest podatność CVE-2026-109220?
Która wtyczka WooCommerce zawiera krytyczny błąd?
Jak można wykorzystać pole uwag do zamówienia?
Czym jest PHP Object Injection i dlaczego jest niebezpieczne?
Jakie warunki musi spełniać sklep, aby atak był możliwy?
Czy cyberprzestępca może wykraść dane klientów i przejąć sklep?
Które wersje wtyczki są podatne?
Czy CVE-2026-109220 jest już aktywnie wykorzystywana?
Jak zabezpieczyć sklep WooCommerce przed atakiem?
Jak sprawdzić, czy sklep został już zaatakowany?
Czym jest podatność CVE-2026-109220 w WooCommerce?
CVE-2026-109220 to krytyczna podatność bezpieczeństwa wykryta w rozszerzeniu PDF Invoice for WooCommerce + Drag and Drop Template Builder, umożliwiającym tworzenie dokumentów PDF na podstawie danych zamówień. Problem został sklasyfikowany jako Deserialization of Untrusted Data, czyli niebezpieczna deserializacja danych pochodzących z niezaufanego źródła. W praktyce oznacza to, że odpowiednio przygotowana zawartość przekazana przez osobę odwiedzającą sklep może zostać przetworzona przez aplikację w sposób prowadzący do odtworzenia niebezpiecznego obiektu PHP. W określonych okolicznościach umożliwia to wykonanie kodu na serwerze, bez wcześniejszego uzyskania dostępu do panelu administracyjnego WordPressa.
Podatność została zgłoszona przez badacza Osmana Husseina z Onvio B.V., a jej szczegółowy opis opublikowano w bazie Wordfence Intelligence 30 października 2026 roku. Tego samego dnia ostrzeżenie pojawiło się w bazie Patchstack, która nadała mu wysoki priorytet operacyjny i potwierdziła krytyczną ocenę CVSS 9,8. W odróżnieniu od wielu podatności wymagających uprawnień administratora lub przynajmniej konta klienta, omawiany błąd może zostać wykorzystany przez osobę niezalogowaną. To szczególnie istotne w przypadku sklepów internetowych, których formularz zamówienia jest z założenia dostępny publicznie.
Która wtyczka WooCommerce zawiera krytyczny błąd?
Podatność dotyczy rozszerzenia PDF Invoice for WooCommerce + Drag and Drop Template Builder, opracowanego przez add-ons.org i dostępnego w oficjalnym katalogu WordPress.org pod identyfikatorem pdf-for-woocommerce. Wtyczka pozwala właścicielom sklepów projektować faktury, dokumenty dostawy, listy przewozowe, potwierdzenia zamówień oraz inne dokumenty PDF bez konieczności ręcznego przygotowywania każdego pliku. Administrator może tworzyć własne szablony metodą przeciągnij i upuść, a następnie automatycznie generować dokumenty po otrzymaniu lub zmianie statusu zamówienia. Rozszerzenie obsługuje również dołączanie wygenerowanych dokumentów do wiadomości e-mail wysyłanych klientom.
Mechanizm automatyzacji jest wygodny, ponieważ pozwala przygotowywać faktury i inne dokumenty bez udziału pracownika sklepu. Jednocześnie oznacza to, że system generujący PDF korzysta z informacji pochodzących bezpośrednio od kupującego, takich jak dane adresowe, produkty czy dodatkowe uwagi do zamówienia. Właśnie sposób przetwarzania jednego z takich pól stał się przyczyną CVE-2026-109220. Należy przy tym odróżnić omawianą wtyczkę od innych rozszerzeń o podobnych nazwach, takich jak PDF Invoices & Packing Slips for WooCommerce czy WooCommerce PDF Invoice Builder. Nie można automatycznie przypisywać im tej samej podatności wyłącznie dlatego, że również służą do generowania dokumentów PDF.
Jak cyberprzestępca może wykorzystać pole uwag do zamówienia?
Podczas składania zamówienia WooCommerce może umożliwiać klientowi wpisanie dodatkowej wiadomości przeznaczonej dla sprzedawcy. Pole to bywa wykorzystywane do przekazywania informacji o dostawie, specjalnych wymaganiach dotyczących produktu albo innych szczegółów potrzebnych do realizacji zakupów. W systemie WooCommerce wartość ta jest dostępna między innymi jako customer_note. Ponieważ zawartość pola pochodzi od kupującego, aplikacja powinna traktować ją jako niezaufane dane tekstowe i odpowiednio zabezpieczać przed przekazaniem do mechanizmów przetwarzających dokumenty.
W podatnych wersjach PDF Invoice for WooCommerce + Drag and Drop Template Builder zawartość customer_note była umieszczana bez wystarczającej neutralizacji w strukturze HTML wykorzystywanej do wygenerowania faktury. Następnie dane przechodziły przez bibliotekę simplehtmldom, która mogła ponownie zinterpretować wcześniej zakodowane elementy HTML. W kolejnym etapie biblioteka mPDF przetwarzała otrzymaną zawartość i odtwarzała określone wartości w postaci danych przekazywanych do funkcji PHP unserialize(). Właśnie w tym miejscu powstawał niebezpieczny mechanizm, który mógł umożliwić odtworzenie obiektu kontrolowanego przez atakującego.
Badacze Wordfence potwierdzili możliwość uruchomienia tej ścieżki przez publiczne API WooCommerce, w tym endpoint /wc/store/v1/checkout. Atakujący może zainicjować złożenie zamówienia jako gość, wykorzystując podatną konfigurację sklepu i przekazując specjalnie przygotowaną zawartość w danych zamówienia. Jeśli wybrany sposób płatności powoduje nadanie zamówieniu statusu uruchamiającego automatyczne generowanie PDF, niebezpieczne dane mogą trafić do podatnego mechanizmu bez konieczności wykonywania dodatkowych czynności przez administratora.
To istotna różnica w porównaniu z podatnościami, które wymagają otwarcia zainfekowanego dokumentu przez pracownika. W przypadku CVE-2026-109220 zagrożenie dotyczy przetwarzania danych na serwerze podczas automatycznego generowania faktury. Sam klient nie musi uzyskiwać uprawnień administracyjnych ani nakłaniać właściciela sklepu do pobrania podejrzanego pliku.
Czym jest PHP Object Injection i dlaczego jest tak niebezpieczne?
PHP Object Injection to rodzaj podatności, w której aplikacja odtwarza obiekt PHP na podstawie danych dostarczonych przez niezaufanego użytkownika. Funkcja unserialize() służy do przywracania wcześniej zapisanych struktur danych, ale jej używanie na zawartości kontrolowanej przez osobę zewnętrzną może być niebezpieczne. Jeżeli podczas odtwarzania obiektu uruchamiane są określone metody lub istnieje odpowiedni ciąg wywołań w kodzie aplikacji, napastnik może doprowadzić do wykonania operacji, których administrator nigdy nie zamierzał udostępniać publicznie. W zależności od dostępnych klas i sposobu ich wykorzystania skutki mogą obejmować odczytywanie informacji, modyfikowanie plików lub wykonywanie nieautoryzowanego kodu.
Takie zagrożenia są szczególnie poważne w rozbudowanych aplikacjach PHP, które korzystają z wielu bibliotek i dodatkowych rozszerzeń. WordPress i WooCommerce należą do systemów pozwalających na szerokie modyfikowanie funkcjonalności, dlatego pojedynczy nieprawidłowo zabezpieczony mechanizm może oddziaływać na znacznie większy fragment aplikacji. W omawianym przypadku Wordfence zakwalifikował podatność jako prowadzącą do zdalnego wykonania kodu, czyli Remote Code Execution (RCE). Nie oznacza to jednak automatycznego uzyskania uprawnień administratora systemu operacyjnego. Kod uruchomiony w kontekście PHP działa z uprawnieniami procesu obsługującego aplikację, a jego możliwości zależą od konfiguracji serwera, dostępu do plików i zastosowanych mechanizmów izolacji.
Jakie warunki musi spełniać sklep, aby atak był możliwy?
Podatność CVE-2026-109220 nie oznacza, że każdy sklep korzystający z WooCommerce może zostać przejęty poprzez wpisanie odpowiedniej treści w uwagach do zamówienia. Przede wszystkim konieczna jest obecność konkretnej wtyczki PDF Invoice for WooCommerce + Drag and Drop Template Builder w wersji 7.1.1 lub starszej. Dodatkowo musi istnieć możliwość przekazania przygotowanej zawartości do pola customer_note, a następnie uruchomienia podatnego procesu generowania dokumentu PDF. To ostatnie zależy od ustawień rozszerzenia i mechanizmu obsługi zamówień w danym sklepie.
Wordfence wskazuje, że w typowym scenariuszu wykorzystanie podatności może nastąpić podczas składania zamówienia przez WooCommerce Store API z użyciem płatności tradycyjnym przelewem bankowym lub czekiem. Takie metody mogą powodować automatyczne przejście zamówienia do statusu on-hold, czyli „Wstrzymane”. Jeżeli wtyczka została skonfigurowana do generowania faktury przy tym statusie, proces może uruchomić podatny kod bez dodatkowej interakcji administratora. Nie oznacza to jednak, że wyłącznie sklepy korzystające z tych dwóch metod płatności mogą być zagrożone. Inne konfiguracje również mogą prowadzić do wykonania tej samej ścieżki, jeżeli generowanie dokumentu następuje po przetworzeniu niezaufanych danych zamówienia.
Istotne jest także to, że sam WooCommerce Store API nie jest w tym przypadku źródłem podatności. Jest to standardowy mechanizm obsługujący proces zakupowy, z którego może korzystać legalny klient sklepu. Zagrożenie wynika z niebezpiecznego sposobu dalszego przetwarzania otrzymanych informacji przez dodatkową wtyczkę. Dlatego wyłączenie wyłącznie jednego endpointu API nie powinno być traktowane jako pełne rozwiązanie problemu, szczególnie jeśli mogłoby zakłócić prawidłowe działanie koszyka i finalizacji zamówienia.
Czy cyberprzestępca może wykraść dane klientów i przejąć sklep internetowy?
Możliwość zdalnego wykonania kodu na serwerze może prowadzić do poważnych konsekwencji dla bezpieczeństwa sklepu internetowego. Jeżeli napastnik skutecznie wykorzysta podatność, potencjalnie może uzyskać dostęp do plików i danych dostępnych dla procesu PHP, modyfikować elementy aplikacji lub próbować instalować dodatkowe złośliwe oprogramowanie. W typowym środowisku WordPressa szczególnie istotny jest dostęp do plików konfiguracyjnych zawierających informacje potrzebne do połączenia z bazą danych i zewnętrznymi usługami. Jeżeli takie informacje zostaną ujawnione, mogą umożliwić dalszą ingerencję w środowisko sklepu, zależnie od uprawnień i zabezpieczeń infrastruktury.
Potencjalne konsekwencje mogą również obejmować naruszenie poufności danych klientów, informacji o zamówieniach, adresach dostaw i innych rekordach przetwarzanych przez WooCommerce. Po uzyskaniu odpowiedniego dostępu atakujący mógłby próbować modyfikować stronę sklepu, instalować ukryte mechanizmy ponownego dostępu albo ingerować w proces płatności. Jednym z możliwych scenariuszy po przejęciu aplikacji jest również umieszczenie złośliwego JavaScript na stronie finalizacji zamówienia, co może stwarzać ryzyko przechwytywania danych przekazywanych przez klientów. Są to jednak potencjalne następstwa skutecznego wykonania kodu na serwerze, a nie potwierdzone przypadki ataków wykorzystujących CVE-2026-109220.
Dla właściciela sklepu incydent może oznaczać przestój sprzedażowy, konieczność przywracania bezpiecznego środowiska, analizę naruszenia danych i wydatki związane z obsługą techniczną. W szczególnie niekorzystnych przypadkach zagrożenie może obejmować również reputację przedsiębiorstwa, ponieważ klienci powierzają sklepom nie tylko pieniądze, ale także dane kontaktowe i informacje dotyczące dokonywanych zakupów. Z tego powodu podatności umożliwiające wykonanie kodu na serwerze powinny być traktowane priorytetowo nawet wtedy, gdy sklep nie wykazuje widocznych oznak włamania.
Które wersje wtyczki są podatne i gdzie znajduje się poprawka?
Według oficjalnych zgłoszeń Wordfence i Patchstack podatność CVE-2026-109220 występuje w PDF Invoice for WooCommerce + Drag and Drop Template Builder we wszystkich wersjach do 7.1.1 włącznie. Producent przygotował poprawkę w wersji 7.2.0, która jest pierwszym potwierdzonym wydaniem usuwającym opisany problem. W oficjalnej historii zmian na WordPress.org przy wersji 7.2.0 znajduje się informacja o poprawce bezpieczeństwa. Administratorzy mogą zweryfikować numer zainstalowanej wtyczki bezpośrednio w panelu WordPressa, przechodząc do sekcji Wtyczki i odnajdując rozszerzenie na liście zainstalowanego oprogramowania.
Nie należy przy tym utożsamiać numeru wersji tej wtyczki z numerem wersji WooCommerce, WordPressa ani PHP. Aktualizacja podstawowej platformy sprzedażowej nie usuwa automatycznie błędu występującego w dodatkowym generatorze faktur. Podobnie samo zaktualizowanie biblioteki mPDF w innym rozszerzeniu nie stanowi potwierdzonego sposobu usunięcia tej konkretnej podatności. Decydujące znaczenie ma zastosowanie poprawionej wersji PDF Invoice for WooCommerce + Drag and Drop Template Builder oraz upewnienie się, że działająca instalacja rzeczywiście korzysta z nowego kodu.
Warto również pamiętać, że wtyczka miała już wcześniej zgłoszoną podatność PHP Object Injection, oznaczoną CVE-2025-60083, którą usunięto w wersji 6.5.1. Nowa luka CVE-2026-109220 jest odrębnym problemem dotyczącym innej ścieżki przetwarzania niezaufanych danych i wymaga nowszej poprawki. Dlatego administratorzy, którzy wcześniej aktualizowali rozszerzenie wyłącznie w związku ze starszym ostrzeżeniem, nadal powinni sprawdzić, czy korzystają z wersji 7.2.0 lub nowszej.
Czy CVE-2026-109220 jest już aktywnie wykorzystywana?
Na 31 października 2026 roku publiczne komunikaty Wordfence i Patchstack nie przedstawiają potwierdzonych danych o aktywnej kampanii ataków wykorzystujących CVE-2026-109220. Nie podano liczby przejętych sklepów ani udokumentowanych przypadków kradzieży danych klientów w wyniku tej konkretnej podatności. Patchstack klasyfikuje jednak problem jako zagrożenie wysokiego priorytetu, które może stać się celem zautomatyzowanych prób wykorzystania. Wynika to z połączenia kilku niebezpiecznych cech: publicznej dostępności procesu zamawiania, braku wymogu uwierzytelnienia oraz możliwości wykonania kodu na serwerze.
Nie należy utożsamiać przewidywanego ryzyka wykorzystania podatności z potwierdzeniem rzeczywistych włamań. Jednocześnie publiczna dostępność informacji o mechanizmie ataku może ułatwiać przygotowywanie prób jego wykorzystania przez osoby posiadające odpowiednią wiedzę techniczną. Sklepy internetowe są często skanowane automatycznie pod kątem znanych podatnych rozszerzeń, niezależnie od wielkości przedsiębiorstwa i liczby obsługiwanych zamówień. Z tego względu nawet niewielki sklep korzystający z podatnego generatora faktur powinien potraktować aktualizację jako pilne zadanie bezpieczeństwa.
Jak zabezpieczyć sklep WooCommerce przed CVE-2026-109220?
Podstawowym działaniem jest natychmiastowa aktualizacja PDF Invoice for WooCommerce + Drag and Drop Template Builder do wersji 7.2.0 lub nowszej. Przed aktualizacją działającego sklepu warto wykonać kopię zapasową plików oraz bazy danych, aby w razie problemów technicznych możliwe było przywrócenie środowiska. W przypadku sklepów korzystających z indywidualnie przygotowanych szablonów faktur należy również zadbać o zachowanie ich konfiguracji. Po zainstalowaniu poprawki należy sprawdzić, czy wszystkie dokumenty są generowane prawidłowo i czy aktualizacja nie zakłóciła procesu obsługi zamówień.
Jeżeli natychmiastowa aktualizacja nie jest możliwa, bezpieczniejszym rozwiązaniem tymczasowym jest wyłączenie podatnej wtyczki i skorzystanie z alternatywnego sposobu wystawiania dokumentów do czasu usunięcia problemu. Samo wyłączenie tradycyjnego przelewu lub płatności czekiem nie stanowi pełnego zabezpieczenia, ponieważ inne konfiguracje sklepu mogą również uruchamiać mechanizm generowania PDF. Podobnie usunięcie pola uwag z widocznego formularza checkout nie gwarantuje wyeliminowania zagrożenia, jeżeli aplikacja nadal przyjmuje takie dane przez inne mechanizmy obsługi zamówień.
Warto także sprawdzić ustawienia automatycznego generowania faktur w WooCommerce, w szczególności statusy zamówień, przy których rozszerzenie tworzy dokumenty. W przypadku omawianej podatności istotne znaczenie ma właśnie połączenie niezaufanych danych klienta z automatycznym procesem generowania PDF. Kontrola tych ustawień pozwala lepiej ocenić narażenie konkretnego sklepu, ale nie powinna zastępować aktualizacji. Patchstack poinformował również o udostępnieniu reguły ograniczającej możliwość wykorzystania podatności, jednak skuteczna ochrona za pomocą WAF zależy od aktywnej konfiguracji i zastosowanych reguł. Nie należy zakładać, że każda zapora sieciowa automatycznie blokuje ten atak.
Jak sprawdzić, czy sklep został już zaatakowany przez CVE-2026-109220?
Jeżeli sklep korzystał z podatnej wersji rozszerzenia, warto przeanalizować historię zamówień i logi serwera z okresu poprzedzającego instalację poprawki. Szczególną uwagę mogą zwrócić nietypowe zamówienia składane przez niezalogowanych użytkowników, zawierające niezrozumiałą treść w polu uwag do zamówienia. Podejrzane mogą być również zamówienia, które uruchamiały generowanie faktur, a następnie powodowały błędy PHP, nieoczekiwane przerwanie procesu lub inne nietypowe zachowanie aplikacji. Należy jednak pamiętać, że zwykłe zamówienia składane przez WooCommerce Store API są legalną częścią działania sklepu, dlatego sama obecność żądań kierowanych do /wc/store/v1/checkout nie jest dowodem ataku.
Administrator techniczny powinien przeanalizować także integralność plików WordPressa, WooCommerce, aktywnego motywu i dodatkowych rozszerzeń. Szczególnie niepokojące mogą być nowe pliki PHP pojawiające się w katalogach, w których nie powinny znajdować się skrypty wykonywalne, albo nieautoryzowane modyfikacje plików aplikacji. Warto również sprawdzić historię zmian kont administracyjnych, konfiguracji operatorów płatności oraz kluczy wykorzystywanych przez integracje z zewnętrznymi systemami. Jeżeli istnieją odpowiednie kopie zapasowe, porównanie aktualnego stanu instalacji z wcześniejszym, zaufanym środowiskiem może pomóc wykryć nieoczekiwane modyfikacje.
Nie należy jednak zakładać, że każda próba wykorzystania podatności pozostawi widoczne ślady w panelu WooCommerce. W zależności od sposobu przygotowania ataku i konfiguracji serwera niektóre działania mogą nie powodować zauważalnych błędów podczas codziennej obsługi sklepu. Brak nietypowych zamówień lub komunikatów PHP nie jest zatem jednoznacznym potwierdzeniem, że system nie był celem próby włamania. W przypadku poważnych podejrzeń potrzebna może być pełniejsza analiza środowiska, obejmująca dzienniki HTTP, pliki aplikacji, procesy serwera i odpowiednie informacje z systemu operacyjnego.
Co zrobić w przypadku potwierdzonego włamania do sklepu WooCommerce?
Jeżeli analiza techniczna potwierdzi skuteczne wykorzystanie podatności i wykonanie nieautoryzowanego kodu na serwerze, samo zainstalowanie wersji 7.2.0 nie będzie wystarczającym rozwiązaniem. Poprawka usuwa znany mechanizm ataku, ale nie usuwa automatycznie plików lub dodatkowego oprogramowania, które napastnik mógł wcześniej pozostawić w systemie. W pierwszej kolejności należy ograniczyć dalszy dostęp osoby nieuprawnionej, zabezpieczyć logi i kopie danych potrzebne do analizy oraz ustalić rzeczywisty zakres naruszenia bezpieczeństwa. W zależności od ustaleń konieczne może być odtworzenie aplikacji z zaufanych plików, ponowna instalacja komponentów oraz zmiana danych uwierzytelniających.
Szczególnie istotna jest kontrola dostępu do bazy danych, panelu WordPressa, kont hostingowych i zewnętrznych usług połączonych ze sklepem. Jeżeli istnieje ryzyko ujawnienia kluczy API, haseł lub innych sekretów, należy wymienić odpowiednie dane uwierzytelniające i unieważnić stare. W przypadku integracji płatniczych i magazynowych operacje te powinny być przeprowadzone w sposób zapewniający zachowanie prawidłowego działania zamówień, powiadomień oraz synchronizacji danych. Trzeba również sprawdzić, czy nie dokonano nieautoryzowanych zmian na stronie checkout, w kodzie JavaScript lub w ustawieniach płatności.
Jeżeli incydent obejmował dane osobowe klientów, administrator danych powinien ocenić obowiązki wynikające z RODO. W określonych okolicznościach może być konieczne zgłoszenie naruszenia organowi nadzorczemu, zasadniczo w ciągu 72 godzin od jego stwierdzenia, chyba że naruszenie prawdopodobnie nie powoduje ryzyka dla praw lub wolności osób fizycznych. W przypadku wysokiego ryzyka dla klientów może pojawić się również obowiązek ich powiadomienia. Sama obecność podatnej wersji rozszerzenia nie oznacza jednak automatycznie wycieku danych i nie stanowi wystarczającej podstawy do stwierdzenia naruszenia poufności informacji.
Dlaczego właściciele sklepów WooCommerce nie powinni lekceważyć tej podatności?
CVE-2026-109220 jest przykładem wyjątkowo niebezpiecznej podatności, w której zwykła funkcja obsługująca zamówienia staje się potencjalną drogą do wykonania kodu na serwerze sklepu internetowego. Właściciele sklepów koncentrują się często na aktualizacjach WooCommerce, zabezpieczeniach operatorów płatności i ochronie kont klientów, podczas gdy dodatkowe rozszerzenia odpowiadające za faktury, dokumenty dostawy czy automatyczne powiadomienia nie zawsze są objęte równie dokładną kontrolą. Tymczasem każda wtyczka przetwarzająca dane wprowadzane przez kupujących może wpływać na bezpieczeństwo całej instalacji, szczególnie jeżeli wykorzystuje rozbudowane biblioteki PHP.
W przypadku PDF Invoice for WooCommerce + Drag and Drop Template Builder podatność otrzymała krytyczną ocenę CVSS 9,8, a badacze potwierdzili możliwość uruchomienia podatnego mechanizmu bez uwierzytelnienia. Zagrożenie dotyczy konkretnych wersji rozszerzenia i określonej ścieżki generowania dokumentów, dlatego nie należy przedstawiać go jako błędu występującego automatycznie we wszystkich sklepach WooCommerce. Jednocześnie dostępność publicznego procesu zamawiania sprawia, że administratorzy korzystający z podatnej wtyczki powinni działać niezwłocznie.
Najważniejszym krokiem jest aktualizacja do wersji 7.2.0 lub nowszej, a następnie sprawdzenie poprawności generowania faktur oraz podstawowych procesów sprzedażowych. W sklepach, które przez dłuższy czas korzystały z podatnej wersji, warto również zweryfikować historię podejrzanych zamówień i integralność plików aplikacji. Brak potwierdzonych masowych ataków nie oznacza, że podatność można zignorować, szczególnie gdy dotyczy mechanizmu umożliwiającego zdalne wykonywanie kodu. Dla przedsiębiorcy prowadzącego sprzedaż internetową szybkie usunięcie takiego zagrożenia może mieć kluczowe znaczenie dla ochrony danych klientów i zachowania ciągłości działania sklepu.
Źródła
Patchstack – CVE-2026-109220, ocena CVSS 9,8, podatne wersje i poprawka 7.2.0