Stručně: U bezpečnosti OXID eShop jde po PHP2Shell nejprve o server: zranitelnost je v PHP, ne v OXID. Nechte si potvrdit stav PHP a restartovat všechny procesy. Poté zkontrolujte config.inc.php, moduly, soubory motivů, účty správců a přístupy k ERP a platebním službám.
Proč by si majitelé e-shopů na OXID měli věnovat pozornost
OXID eShop je v německy mluvících zemích rozšířen především v B2B obchodu, u výrobců s přímým prodejem a ve velkoobchodu. Takové e-shopy jen zřídka stojí osamoceně: vyměňují si objednávky, ceny, stavy zásob a data zákazníků s ERP, PIM a platebními službami. Útočník na serveru e-shopu proto často vidí víc než jen e-shop.
Zranitelnosti PHP CVE-2026-109618 a CVE-2026-109619 umožňují podle týmu PHP spuštění škodlivého kódu na dálku bez přihlášení. Zda je samotný OXID aktuální, přitom nehraje roli. Typická data v e-shopech OXID jsou:
- firemní zákazníci s kontaktními osobami, adresami, čísly zákazníků a individuálními cenami
- historie objednávek a poptávky po nabídkách
- přístupové údaje k ERP, platebním a přepravním službám v konfiguraci a v nastavení modulů
- účty zaměstnanců v administraci
Bezpečnost OXID eShop: jak správně zkontrolovat stav PHP
V administraci zobrazuje Service > Systeminfo údaje o PHP běžícího e-shopu. To je webová verze, kterou se obsluhují zákazníci. Konzole OXID, importy a úlohy cron naopak často běží s PHP pro příkazovou řádku, které může být jiná verze. Obě musí být záplatovány.
Opravené verze upstreamu jsou 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Distribuce a poskytovatelé hostingu dodávají opravy částečně jako backport, číslo pak zůstane stejné; rozhodující je potvrzený stav balíčku. Které verze PHP vaše verze OXID podporuje, ověříte podle systémových požadavků v dokumentaci výrobce na oxid-esales.com.
Starší e-shopy OXID generace 4 nebo rané verze generace 6 často stále běží na starých verzích PHP bez oficiálních aktualizací. Pak je do upgradu potřeba přechodná ochrana a pevný časový plán.
Adresáře a soubory v OXID
Od OXID 6 se e-shop instaluje přes Composer; kořenem dokumentů je zpravidla adresář source/.
| Místo | Obsah | Bod kontroly |
|---|---|---|
source/config.inc.php |
Přístup k databázi, základní nastavení | Vložený kód, heslo při podezření změnit |
source/modules/ (do OXID 6), od OXID 7 vendor/ |
Moduly, zčásti z balíčků Composeru | Neznámé moduly, změněné soubory |
var/configuration/ |
Konfigurace modulů a e-shopu jako soubory | Neočekávané změny |
source/out/ |
Motivy, obrázky, JavaScript | Cizí skripty, soubory PHP ve složkách s obrázky |
source/tmp/ |
Zkompilované šablony a cache | Po vyčištění vyprázdnit |
source/log/ |
Protokol e-shopu | Zálohovat před změnami |
Zkompilované šablony v adresáři tmp se často přehlížejí. Skládají se z kódu PHP a po vyčištění se vytvoří znovu; složku proto vyprázdněte po každém nálezu.
Neškodné první kontroly:
# Soubory PHP ve složkách s obrázky a médii
find source/out -type f -name "*.php"
# Soubory modulů změněné od 17. 10. 2026 (OXID 6; od OXID 7 jsou moduly ve vendor/)
find source/modules -type f -newermt "2026-10-17"
# Známé zranitelnosti v závislostech
composer audit
Vyčištěný server e-shopu neučiní uniklé přístupy k rozhraním opět tajnými. Po podezření obnovte přístupové údaje k ERP, platebním a přepravním službám po dohodě s jejich provozovateli.
Administrace a moduly
Administrace leží standardně na adrese /admin/. Zkontrolujte správu uživatelů, zda neobsahuje účty s právy administrátora, které nikdo nedokáže přiřadit, a přístupy bývalých dodavatelů. Přístup do administrace pokud možno omezte na firemní síť nebo VPN; v prostředí B2B je to většinou dobře proveditelné.
Moduly pro platební metody, napojení na ERP, funkce B2B jako množstevní ceny nebo schvalovací procesy jsou v e-shopech OXID často individuálně upraveny. Každý modul je vlastní kód PHP a upravené moduly často brzdí upgrady PHP. Zaznamenejte si, které moduly jsou aktivní, kdo je udržuje a zda existuje verze pro zamýšlenou verzi PHP.
Co aktualizace OXID zvládne a co ne
Aktualizace OXID nebo modulu uzavře známé chyby v tomto kódu a může umožnit novější verze PHP. Nezáplatuje PHP a nerestartuje ani PHP-FPM, ani procesy na pozadí. Cizí soubory v source/out, zmanipulované moduly, zkompilované šablony a nové účty správců zůstávají. Zda existují známky útoku, ověříte pomocí Jsem už kompromitován?. K situaci ve středních firmách se hodí Kybernetická bezpečnost středních firem a průmyslu.
Mnoho e-shopů OXID má vedle ostrého systému stagingové prostředí na stejném nebo druhém serveru. Zkontrolujte a záplatujte i je, protože často obsahuje kopii dat zákazníků a je pro útočníky stejně užitečné.
Jak konkrétně pomáhá PHP SOS?
- Zjistíme webové a CLI PHP vašeho serveru s OXID a necháme si potvrdit záplatu a restart.
- Zálohujeme logy od 20. 10. 2026, soubory a databázi.
- Kontrolujeme
config.inc.php, moduly, motivy, zkompilované šablony a účty správců. - Při podezření koordinujeme prostřednictvím naší reakce na incidenty vyčištění a obnovení přístupů k rozhraním s vaší agenturou a dodavateli ERP.
Časté dotazy
Týká se PHP2Shell OXID eShop?
PHP2Shell není zranitelnost OXID, ale zranitelnost PHP. Každý e-shop OXID na serveru s nezáplatovaným PHP je proto potenciálně napadnutelný. Aktualizace OXID zranitelnost neuzavře.
Kde v OXID vidím verzi PHP?
V administraci v nabídce Service > Systeminfo, kde se zobrazují údaje o PHP běžícího e-shopu. Zda je nasazen backport, z toho nepoznáte; potvrdí to váš poskytovatel hostingu nebo provozovatel.
Který soubor OXID obsahuje přístupové údaje?
Soubor config.inc.php v adresáři source. Obsahuje přístup k databázi. Po podezření byste měli změnit heslo k databázi a zkontrolovat soubor, zda neobsahuje vložený kód.
Musíme zkontrolovat své rozhraní k ERP?
Ano. Pokud útočník na serveru e-shopu spustil kód, mohl přečíst přístupové údaje k ERP, PIM nebo platebním službám. Tyto přístupy by se měly po podezření obnovit.