Når din WooCommerce-plugin stjæler dine data: FunnelKit-sårbarheden forklaret
Den stille tyveri ved kassen
Forestil dig en indbrudstyv, der ikke sparker døre ind eller bryder vinduer. Han smutter bare ind gennem en åben sideindgang, ser kunderne taste deres kortoplysninger og forsvinder igen med en mappe fuld af betalingsdata. Ingen alarm, ingen rod, ingen spor – indtil sikkerhedsforskere opdagede, hvad der foregik.
Sådan forløb det på over 40.000 WooCommerce-butikker, der kørte en sårbar version af FunnelKit-pluginnet.
Mellem opdagelsen af sikkerhedshullet og patchen i maj 2026 stjal angribere følsomme betalingsoplysninger i realtid. Kreditkortnumre, CVV-koder, faktureringsadresser og kundedata blev indsamlet uden at nogen lagde mærke til det. Hverken kunderne eller butiksejerne vidste, at de var ramt.
Hvordan angrebet fungerede – og hvorfor det var så effektivt
Det farlige ved denne sårbarhed var dens enkelhed og usynlighed. Den ondsindede kode var forklædt som et almindeligt analyse-script – præcis den type tracking, man ser på de fleste e-handelssider. Butiksdashboardet så helt normalt ud, og kunderne oplevede en smidig kasseproces.
Men bag kulisserne samlede den kompromitterede kode data fra indtastningsfelterne. Alle indtastninger i betalingsfelterne blev monitoreret og sendt til angribernes servere. Almindelige sikkerhedstjek og audits kunne ikke fange det. De fleste butiksejere så derfor ingen forandring.
Skadesomfanget
- Over 40.000 WooCommerce-butikker kørte sårbare versioner
- Hver ubeskyttet butik kunne være ramt
- Hver transaction i perioden medførte risiko for dataudtræk
- Alle versioner før 3.15.0.3 var sårbare
Hvis din butik tog imod kreditkortbetalinger og ikke opdaterede FunnelKit, er det bedst at gå ud fra, at dine kunders data blev stjålet. Det er ikke alarmisme – snarere en realistisk håndtering af en bekræftet eksploit.
Regler og ansvaret
GDPR bryder sig ikke om pluginudviklerne. Hvis du handler med europæiske kunder, har du sandsynligvis pligt til at underrette de berørte kunder om dataudtrækket.
Dette betyder:
- at du skal informere kunderne om dataudtrækket
- at du skal dokumentere tidspunkt og omfang
- at du kan blive ramt af bøder
- at du kan lide omdømmetab
- at du kan være ansvarlig for kreditovervågning
Det samme gælder CCPA i Californien og andre regler rundt om i verden. Compliance-omkostningerne er både realitet og et dybt, dybt problem.
Hvad du bør gøre nu
Med FunnelKit: Opdater straks til version 3.15.0.3 eller nyere. Slå ikke dette punkt på.
Med en WooCommerce-butik: Gennemgå alle plugins, der berører kasseprocessen. Slå automatiske sikkerhedsopdateringer til. Brug en Web Application Firewall (WAF) to fange vir
Sikkerhed som del af din hosting
Sikkerhed i WooCommerce er kun så god som den svageste link. Et sårbart plugin kan ramme flere butikker samtidigt.
De bedste praksisser:
- Regular security audits af din plugin-stack
- Automatic updates for security patches
- Web hosting med security monitoring og threat detection
- Regular backups så du kan recover ifølge