Kort svar: Ja, nettbutikken bør oppdateres til WooCommerce 11.2 nå. Versjon 11.2.0 kom 7. oktober 2026 med flere sikkerhetsrettinger, og WooCommerce skriver selv: «Update all stores to 11.2.» Viktigst for butikker med integrasjoner er en sårbarhet der en REST API-nøkkel med butikksjef-rettigheter kunne brukes til å skaffe et fullverdig applikasjonspassord. Gjeldende versjon per 22. oktober er 11.2.1.
Under forklarer vi hva som er rettet, hvorfor det særlig angår butikker som er koblet til kassesystem, regnskap eller lager via API, og hvordan du oppdaterer trygt før julehandelen.
Nøkkelfakta: WooCommerce-sikkerhet oktober 2026
- WooCommerce 11.2.0 ble lansert 7. oktober 2026, er bakoverkompatibel, men krever databaseoppdatering (WooCommerce).
- CVE-2026-106608: rettighetseskalering for brukere med Shop Manager-rolle eller høyere i versjon 9.8.0–11.1.2, rettet i 11.2.0 (Patchstack).
- QR-innlogging for mobilappen: i 10.9.0–11.1.0 kunne en ikke-interaktiv nøkkel fullføre QR-innloggingen og få et nytt applikasjonspassord, rettet i 11.1.1 (WPSec).
- Tidligere i høst: en tjenestenektsårbarhet (CVE-2026-48888, høy alvorlighet) før 11.1.0 og en SQL-injeksjon (CVE-2026-57777) til og med 10.9.4 (WPress Sentinel).
- Utbredelse: WooCommerce har over 7 millioner aktive installasjoner.
Hva er rettet i WooCommerce 11.2?
Ifølge release notes inneholder 11.2 fem konkrete sikkerhetsendringer:
- Cc/Bcc på sensitive e-poster: e-postene for tilbakestilling av passord, ny konto og bekreftelse av e-postadresse kan ikke lenger ha kopimottakere, fordi de inneholder lenker for innlogging eller verifisering. Tidligere lagrede adresser ignoreres.
- Nedlastbare produkter: strengere kontroll av ordre- og e-postdata før tilgang gis. Vanlige nedlastingslenker fungerer som før, men importerte eller spesiallagde lenker kan slutte å virke.
- Butikksjefer: en Shop Manager kan ikke lenger redigere brukere som også har roller utenfor listen over redigerbare roller, for eksempel fra forum- eller medlemsutvidelser.
- Blueprints på multisite: import krever nå nettverks-superadmin.
- Bruksstatistikk: sjekker at sensitiv informasjon holdes utenfor data som sendes når butikken har takket ja til sporing.
Hvorfor angår dette butikker med kassesystem- eller regnskapsintegrasjon?
Mange norske nettbutikker er koblet til kassesystem, lager eller regnskap med en WooCommerce REST API-nøkkel. Slike nøkler opprettes ofte for en bruker med administrator- eller butikksjefrolle, og de ligger lagret hos integrasjonen.
Sårbarheten i QR-innloggingen viser hvorfor det betyr noe. WPSec beskriver at endepunktene bare sjekket rettigheten manage_woocommerce, uten å kreve en innlogget nettleserøkt. Den som hadde en slik nøkkel, kunne dermed fullføre QR-flyten og få et nytt applikasjonspassord med full REST-tilgang for brukeren, ikke bare den smalere tilgangen nøkkelen var ment å gi. En lekket integrasjonsnøkkel kunne altså bli til langt bredere tilgang.
Lærdommen gjelder uansett versjon: gi hver integrasjon sin egen bruker og nøkkel, med så få rettigheter som mulig. Det er slik vi setter opp PCKasse-integrasjonen mot WooCommerce.
Hvordan oppdaterer jeg WooCommerce trygt?
- Ta full backup av filer og database rett før oppdateringen.
- Sjekk utvidelsene først. WooCommerce advarer om at PublishPress Future 3.0.0–4.10.3 kan gi fatal feil med 11.2. Oppdater den til 4.10.4 eller nyere før du oppdaterer WooCommerce.
- Test i et staging-miljø hvis butikken har mange utvidelser eller eget tema. 11.2 krever databaseoppdatering.
- Oppdater til 11.2.1 og kjør databaseoppdateringen når WordPress ber om det.
- Test kassen med en ekte bestilling, og sjekk at bilder på variable produkter vises riktig.
- Kontroller integrasjonene: at ordre, lager og priser fortsatt synkroniseres.
Hva bør jeg gjøre med API-nøkler og applikasjonspassord?
- Gå til WooCommerce > Innstillinger > Avansert > REST API og slett nøkler som ikke er i bruk.
- Se gjennom applikasjonspassord under hver brukerprofil i WordPress, og fjern dem du ikke kjenner igjen.
- Har butikken kjørt en sårbar versjon og hatt nøkler hos tredjeparter, bør du vurdere å lage nye nøkler.
- Bruk lese-tilgang der integrasjonen bare trenger å lese.
- Slå på tofaktorautentisering for alle administratorer og butikksjefer.
Les også WordPress-sikkerhet 2026: hullene du må tette og sjekklisten for Black Friday i nettbutikken.
Trenger du hjelp med oppdatering og drift?
Med WooCommerce-hosting hos InfoDesk får du norsk drift, backup og hjelp med oppdateringer. Vi bygger også integrasjoner og skreddersydde løsninger for nettbutikker, og registrerer .no-domener som Norid-registrar. Er du usikker på om butikken er oppdatert, ta kontakt, så sjekker vi den.
Ofte stilte spørsmål
Hvilken WooCommerce-versjon bør jeg ha nå?
WooCommerce anbefaler at alle butikker oppdateres til 11.2. Gjeldende versjon per 22. oktober 2026 er 11.2.1.
Hvilke versjoner er rammet av CVE-2026-106608?
Versjon 9.8.0 til og med 11.1.2. Feilen er rettet i 11.2.0, ifølge Patchstack.
Må en vanlig kunde ha konto for å utnytte feilen?
Nei, kunder kan ikke det. Feilen krever tilgang tilsvarende butikksjef eller høyere, for eksempel en REST API-nøkkel knyttet til en slik bruker.
Kan oppdateringen ødelegge noe?
Den er bakoverkompatibel, men krever databaseoppdatering. PublishPress Future før 4.10.4 kan gi fatal feil, og spesiallagde nedlastingslenker kan slutte å virke. Ta backup og test først.
Må jeg lage nye API-nøkler?
Det er ikke påkrevd, men lurt hvis butikken har kjørt en sårbar versjon og nøkler er lagret hos tredjeparter.