Накратко: При сигурността на OXID eShop след PHP2Shell става дума най-напред за сървъра: уязвимостта е в PHP, а не в OXID. Поискайте потвърждение за състоянието на PHP и рестартиране на всички процеси. След това проверете config.inc.php, модулите, файловете на темата, админ акаунтите и достъпите до ERP и платежни услуги.
Защо магазините на OXID трябва да бъдат разгледани внимателно
OXID eShop е разпространен в немскоговорящите страни най-вече в B2B търговията, при производители с директни продажби и на едро. Такива магазини рядко са изолирани решения: те обменят поръчки, цени, наличности и данни на клиенти с ERP, PIM и платежни услуги. Нападател на сървъра на магазина вижда затова често повече от самия магазин.
PHP уязвимостите CVE-2026-109618 и CVE-2026-109619 позволяват според екипа на PHP изпълнение на злонамерен код от разстояние без вход в системата. Дали самият OXID е актуален, няма значение за това. Типични данни в магазини на OXID са:
- фирмени клиенти с лица за контакт, адреси, клиентски номера и индивидуални цени
- история на поръчките и запитвания за оферти
- данни за достъп до ERP, платежни и куриерски услуги в конфигурацията и в настройките на модулите
- акаунти на служители в административната зона
Сигурност на OXID eShop: как да проверите правилно състоянието на PHP
В администраторската зона Service > System Info показва данните за PHP на работещия магазин. Това е уеб версията, с която се обслужват клиентите. Конзолата на OXID, импортите и cron задачите обаче често работят с PHP за командния ред, който може да е друга версия. И двата трябва да са пачнати.
Поправените версии на оригиналния проект са 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Дистрибуциите и хостинг доставчиците понякога доставят корекциите като backport, номерът тогава остава същият; решаващо е потвърденото състояние на пакета. Кои версии на PHP поддържа Вашата версия на OXID, проверете според системните изисквания в документацията на производителя на oxid-esales.com.
По-старите магазини на OXID от поколение 4 или ранните версии на поколение 6 често още работят на стари версии на PHP без официални актуализации. Тогава до надграждането са нужни преходна защита и твърд график.
Директории и файлове в OXID
От OXID 6 магазинът се инсталира чрез Composer; коренната директория е по правило директорията source/.
| Място | Съдържание | Какво да проверите |
|---|---|---|
source/config.inc.php |
достъп до базата данни, основни настройки | вмъкнат код, при подозрение сменете паролата |
source/modules/ (до OXID 6), от OXID 7 vendor/ |
модули, отчасти от пакети на Composer | непознати модули, променени файлове |
var/configuration/ |
конфигурация на модули и магазин като файлове | неочаквани промени |
source/out/ |
теми, изображения, JavaScript | чужди скриптове, PHP файлове в папки с изображения |
source/tmp/ |
компилирани шаблони и кеш | изпразнете след почистване |
source/log/ |
протокол на магазина | запазете преди промени |
Компилираните шаблони в директорията tmp често се пропускат. Те се състоят от PHP код и се генерират наново след почистване; затова папката трябва да се изпразва след всяка находка.
Безопасни първи проверки:
# PHP файлове в папките за изображения и медия
find source/out -type f -name "*.php"
# Файлове на модули, променени от 17.10.2026 г. (OXID 6; от OXID 7 модулите са във vendor/)
find source/modules -type f -newermt "2026-10-17"
# Известни уязвимости в зависимостите
composer audit
Почистен сървър на магазина не прави изтеклите достъпи до интерфейси отново тайни. При подозрение подновете данните за достъп до ERP, платежни и куриерски услуги, съгласувано с техните оператори.
Административна зона и модули
Административната зона е по подразбиране на /admin/. Проверете управлението на потребителите за акаунти с админ права, които никой не може да причисли, и за достъпи на бивши доставчици. Ако е възможно, ограничете админ достъпа до фирмената мрежа или VPN; в B2B средата това обикновено е лесно осъществимо.
Модулите за начини на плащане, ERP интеграция, B2B функции като стъпални цени или процеси на одобрение са в магазините на OXID често адаптирани индивидуално. Всеки модул е собствен PHP код, а адаптираните модули често спират надграждането на PHP. Запишете кои модули са активни, кой ги поддържа и има ли версия за желаната версия на PHP.
Какво може актуализацията на OXID и какво не
Актуализация на OXID или на модул затваря известни грешки в този код и може да позволи по-нови версии на PHP. Тя не пачва PHP и не рестартира нито PHP-FPM, нито фонови процеси. Чуждите файлове в source/out, манипулираните модули, компилираните шаблони и новите админ акаунти остават. Дали има признаци за атака, проверете с Вече компрометиран ли съм?. За положението при средните фирми подхожда ИТ сигурност за средни фирми и индустрия.
Много магазини на OXID имат освен живата система и staging среда на същия или на втори сървър. Проверете и пачнете и нея, защото тя често съдържа копие на данните на клиентите и е също толкова полезна за нападателите.
Как помага PHP SOS конкретно?
- Установяваме уеб PHP и CLI PHP на Вашия сървър с OXID и получаваме потвърждение за пача и рестартирането.
- Запазваме логове от 20.10.2026 г. нататък, файловете и базата данни.
- Проверяваме
config.inc.php, модулите, темите, компилираните шаблони и админ акаунтите. - При подозрение координираме чрез нашия Incident Response почистването и подновяването на достъпите до интерфейсите с Вашата агенция и Вашите ERP доставчици.
Често задавани въпроси
Засегнат ли е OXID eShop от PHP2Shell?
PHP2Shell не е уязвимост на OXID, а уязвимост в PHP. Всеки магазин на OXID на сървър с непачнат PHP е затова потенциално уязвим. Актуализацията на OXID не затваря уязвимостта.
Къде виждам версията на PHP в OXID?
В админ зоната под Service > System Info, там се показват данните за PHP на работещия магазин. Дали е внесен backport, не се познава по тях; това потвърждава Вашият хостинг доставчик или оператор.
Кой файл на OXID съдържа данните за достъп?
Файлът config.inc.php в директорията source. Той съдържа достъпа до базата данни. При подозрение трябва да смените паролата на базата данни и да проверите файла за вмъкнат код.
Трябва ли да проверим нашия ERP интерфейс?
Да. Ако нападател е изпълнявал код на сървъра на магазина, може да е прочел данни за достъп до ERP, PIM или платежни услуги. Тези достъпи трябва да се подновят при подозрение.