WooPayments пуска поправка за абонаментите във всички версии

На 3 ноември 2026 г. WooCommerce пусна обновление за сигурност на WooPayments, собствения си плъгин за плащане с карта в онлайн магазин. То поправя проблем в кода за абонаменти, който идва вграден в WooPayments, и според WooCommerce допълва поправка, обявена през август. Обновлението излезе за всеки клон на плъгина от 9.0 до 11.2, а най-новата версия е 11.2.1.

WooCommerce не съобщи какъв точно е проблемът, колко е опасен и дали вече се използва в атаки. Към 9 ноември 2026 г. за него няма запис в NVD, WPScan и Patchstack. Ясно е обаче кои версии са засегнати и до коя да обновите, и това стига, за да действате още днес.

Какво се знае за проблема

Съобщението на WooCommerce е кратко. В него пише само, че проблемът е във функционалността за абонаменти, която идва с WooPayments, и че поправката продължава тази от август. Технически подробности и оценка на опасността няма, затова и ние не ги предполагаме.

Съобщението от 5 август 2026 г. е за отделното платено разширение WooCommerce Subscriptions. Тогава WooCommerce обяви няколко уязвимости, поправени във версия 9.1.0, и написа, че при най-сериозната от тях човек без права може да поеме контрола над сайта. В базата CVE една уязвимост в WooCommerce Subscriptions преди 9.1.0 е записана като CVE-2026-18391, а CISA я оценява с 9.8 по CVSS. Дали ноемврийската поправка в WooPayments затваря същия проблем или сроден на него, WooCommerce не уточнява. Затова не пренасяйте тази оценка върху WooPayments. Какво значи такава оценка, е обяснено в ръководството за CVSS.

Кои магазини са засегнати

Засегнат е всеки магазин с WooPayments на версия от таблицата по-долу, която още не е получила поправката. Съобщението не ограничава проблема до магазините, които продават абонаменти. Ако нямате такива продукти, това не значи, че сте в безопасност.

Според документацията на WooCommerce до версия 10.2.0 WooPayments предлагаше вградени абонаменти без разширението WooCommerce Subscriptions, а вече тази възможност е премахната. Кодът за абонаментите обаче продължава да идва с плъгина. Проверихме файловете на версия 11.2.0 в хранилището на wordpress.org и папките includes/subscriptions и vendor/woocommerce/subscriptions-core са там. В таблицата с поправките са и версиите след 10.2.0, така че проблемът не се отнася само до премахнатата функция.

WooPayments е достъпен за фирми и физически лица в България, а според wordpress.org има над 800 000 активни инсталации. Ако в магазина приемате карти, Apple Pay или Google Pay през WooPayments, проверете версията днес. Изключен плъгин обикновено не се зарежда, но докато подробностите не са известни, по-сигурно е и него да обновите или да изтриете.

Засегнат ли е Вашият магазин?

В администрацията отворете Plugins > Installed Plugins, намерете WooPayments и вижте версията под името му. WooCommerce съветва да я проверите дори когато автоматичните обновления са включени или хостингът се грижи за обновленията вместо Вас.

В Terminal на cPanel командата по-долу показва версията на WooPayments и дали плъгинът е активен. Как се работи с WP-CLI, е описано в ръководството за WP-CLI.

# cPanel > Terminal, в папката на сайта
# Само чете. Показва версията на WooPayments.
wp plugin list --fields=name,status,version \
  --skip-plugins --skip-themes | grep woocommerce-payments

Копията в staging и за разработка често стоят в същия акаунт и лесно се забравят. Следващата команда търси WooPayments във всички папки на акаунта и чете версията от файла на плъгина, без да пуска WordPress.

# cPanel > Terminal
# Само чете. Версията на WooPayments във всяко копие в акаунта.
find ~ -path "*/plugins/woocommerce-payments/woocommerce-payments.php" \
  -exec grep -H "^ \* Version:" {} \; 2>/dev/null

Всеки ред в отговора е едно копие на плъгина, с пътя до него и версията. Сравнете всяка версия с таблицата.

Кои версии поправят проблема

Намерете своята версия в лявата колона. Ако вече сте на версията от дясната колона или на по-нова в същия клон, поправката е при Вас и не е нужно да обновявате отново.

За версиите преди 9.0.0 отделна поправка няма и WooCommerce препоръчва направо 11.2.1. Според файла на плъгина тя изисква WooCommerce 7.6 или по-нова и PHP 7.4 или по-нов. Скокът от толкова стара версия е голям, затова го пробвайте първо на копие в staging.

Какво да направите

1. Направете бекъп на файловете и базата данни, както е описано в ръководството за бекъп.
2. Обновете WooPayments. Бутонът Update now в Plugins > Installed Plugins инсталира най-новата версия, 11.2.1. Ако магазинът трябва да остане в своя клон, например защото друг плъгин още не работи с по-новата версия, инсталирайте поправката за клона с WP-CLI, с командата по-долу. Как да обновявате, без да счупите магазина, е описано в ръководството за обновяване на плъгини.
3. Проверете версията отново, както съветва WooCommerce. После отворете страницата за поръчка и вижте дали формата за плащане с карта се зарежда.
4. Обновете и всяко копие в staging и за разработка. WooCommerce изрично напомня за копията, които се отварят от интернет. Копие, което вече не Ви трябва, изтрийте.
5. Ако използвате и разширението WooCommerce Subscriptions, проверете, че е на 9.1.0 или по-нова версия, заради августовската поправка.
6. Ако обновлението не се появява или спира с грешка, пишете на поддръжката на WooCommerce и посочете версията на WooPayments и грешката, която виждате.

Командата по-долу обновява WooPayments точно до поправката за клон 10.5. Сменете номера с версията от таблицата за Вашия клон. Ако след обновлението нещо не работи, върнете бекъпа от първата стъпка.

# cPanel > Terminal, в папката на сайта
# Променя сайта. Обновява WooPayments до поправката за клон 10.5.
wp plugin update woocommerce-payments --version=10.5.2

Какво правим ние

При наблюдението на уязвимостите следим какво е инсталирано на сайта Ви и всеки ден го сверяваме с базите данни с уязвимости (CVE). Щом се появи уязвимост в нещо, което използвате, изпращаме Ви сигнал и обновяваме, като първо пробваме обновлението на копие в staging. Сайтът може да е хостнат където и да е. Ако искате да включим и Вашия магазин, пишете ни през формата за запитване.

Източници

• WooCommerce Developer Blog, Security update for WooPayments (3 ноември 2026 г.)
• WooCommerce Developer Blog, Security update for WooCommerce Subscriptions (5 август 2026 г.)
• WordPress.org, WooPayments
• WordPress.org Plugin SVN, WooPayments 11.2.1, readme.txt
• WordPress.org Plugin SVN, WooPayments 11.2.1, woocommerce-payments.php
• WordPress.org Plugin SVN, WooPayments 11.2.0, vendor/woocommerce
• WooCommerce, WooPayments Subscriptions
• WooCommerce, WooPayments in Your Country
• NVD, CVE-2026-18391
• WPScan, WooPayments
• Patchstack, WooPayments
• WP-CLI, wp plugin list
• WP-CLI, wp plugin update