# Bezpečnost OXID eShop po PHP2Shell: jak zabezpečit e-shop a rozhraní > Zabezpečte OXID eShop po PHP2Shell: ověřte stav PHP v administraci, zkontrolujte config.inc.php a moduly a chraňte účty správců i rozhraní B2B. Zdroj: https://phpsos.de/cs/plattformen/oxid-eshop/ Stav: 25.10.2026 Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6 **Stručně:** U bezpečnosti OXID eShop jde po PHP2Shell nejprve o server: zranitelnost je v PHP, ne v OXID. Nechte si potvrdit stav PHP a restartovat všechny procesy. Poté zkontrolujte `config.inc.php`, moduly, soubory motivů, účty správců a přístupy k ERP a platebním službám. ## Proč by si majitelé e-shopů na OXID měli věnovat pozornost OXID eShop je v německy mluvících zemích rozšířen především v B2B obchodu, u výrobců s přímým prodejem a ve velkoobchodu. Takové e-shopy jen zřídka stojí osamoceně: vyměňují si objednávky, ceny, stavy zásob a data zákazníků s ERP, PIM a platebními službami. Útočník na serveru e-shopu proto často vidí víc než jen e-shop. Zranitelnosti PHP CVE-2026-109618 a CVE-2026-109619 umožňují podle týmu PHP spuštění škodlivého kódu na dálku bez přihlášení. Zda je samotný OXID aktuální, přitom nehraje roli. Typická data v e-shopech OXID jsou: - firemní zákazníci s kontaktními osobami, adresami, čísly zákazníků a individuálními cenami - historie objednávek a poptávky po nabídkách - přístupové údaje k ERP, platebním a přepravním službám v konfiguraci a v nastavení modulů - účty zaměstnanců v administraci ## Bezpečnost OXID eShop: jak správně zkontrolovat stav PHP V administraci zobrazuje **Service > Systeminfo** údaje o PHP běžícího e-shopu. To je webová verze, kterou se obsluhují zákazníci. Konzole OXID, importy a úlohy cron naopak často běží s PHP pro příkazovou řádku, které může být jiná verze. Obě musí být záplatovány. Opravené verze upstreamu jsou 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Distribuce a poskytovatelé hostingu dodávají opravy částečně jako backport, číslo pak zůstane stejné; rozhodující je potvrzený stav balíčku. Které verze PHP vaše verze OXID podporuje, ověříte podle systémových požadavků v dokumentaci výrobce na oxid-esales.com. Starší e-shopy OXID generace 4 nebo rané verze generace 6 často stále běží na starých verzích PHP bez oficiálních aktualizací. Pak je do upgradu potřeba přechodná ochrana a pevný časový plán. ## Adresáře a soubory v OXID Od OXID 6 se e-shop instaluje přes Composer; kořenem dokumentů je zpravidla adresář `source/`. | Místo | Obsah | Bod kontroly | |---|---|---| | `source/config.inc.php` | Přístup k databázi, základní nastavení | Vložený kód, heslo při podezření změnit | | `source/modules/` (do OXID 6), od OXID 7 `vendor/` | Moduly, zčásti z balíčků Composeru | Neznámé moduly, změněné soubory | | `var/configuration/` | Konfigurace modulů a e-shopu jako soubory | Neočekávané změny | | `source/out/` | Motivy, obrázky, JavaScript | Cizí skripty, soubory PHP ve složkách s obrázky | | `source/tmp/` | Zkompilované šablony a cache | Po vyčištění vyprázdnit | | `source/log/` | Protokol e-shopu | Zálohovat před změnami | Zkompilované šablony v adresáři `tmp` se často přehlížejí. Skládají se z kódu PHP a po vyčištění se vytvoří znovu; složku proto vyprázdněte po každém nálezu. Neškodné první kontroly: ```bash # Soubory PHP ve složkách s obrázky a médii find source/out -type f -name "*.php" # Soubory modulů změněné od 17. 10. 2026 (OXID 6; od OXID 7 jsou moduly ve vendor/) find source/modules -type f -newermt "2026-10-17" # Známé zranitelnosti v závislostech composer audit ``` > **Důležité:** > Vyčištěný server e-shopu neučiní uniklé přístupy k rozhraním opět tajnými. Po podezření obnovte přístupové údaje k ERP, platebním a přepravním službám po dohodě s jejich provozovateli. ## Administrace a moduly Administrace leží standardně na adrese `/admin/`. Zkontrolujte správu uživatelů, zda neobsahuje účty s právy administrátora, které nikdo nedokáže přiřadit, a přístupy bývalých dodavatelů. Přístup do administrace pokud možno omezte na firemní síť nebo VPN; v prostředí B2B je to většinou dobře proveditelné. Moduly pro platební metody, napojení na ERP, funkce B2B jako množstevní ceny nebo schvalovací procesy jsou v e-shopech OXID často individuálně upraveny. Každý modul je vlastní kód PHP a upravené moduly často brzdí upgrady PHP. Zaznamenejte si, které moduly jsou aktivní, kdo je udržuje a zda existuje verze pro zamýšlenou verzi PHP. ## Co aktualizace OXID zvládne a co ne Aktualizace OXID nebo modulu uzavře známé chyby v tomto kódu a může umožnit novější verze PHP. Nezáplatuje PHP a nerestartuje ani PHP-FPM, ani procesy na pozadí. Cizí soubory v `source/out`, zmanipulované moduly, zkompilované šablony a nové účty správců zůstávají. Zda existují známky útoku, ověříte pomocí [Jsem už kompromitován?](https://phpsos.de/cs/php2shell/bin-ich-gehackt-anzeichen/). K situaci ve středních firmách se hodí [Kybernetická bezpečnost středních firem a průmyslu](https://phpsos.de/cs/branchen/mittelstand-industrie/). Mnoho e-shopů OXID má vedle ostrého systému stagingové prostředí na stejném nebo druhém serveru. Zkontrolujte a záplatujte i je, protože často obsahuje kopii dat zákazníků a je pro útočníky stejně užitečné. ## Jak konkrétně pomáhá PHP SOS? - Zjistíme webové a CLI PHP vašeho serveru s OXID a necháme si potvrdit záplatu a restart. - Zálohujeme logy od 20. 10. 2026, soubory a databázi. - Kontrolujeme `config.inc.php`, moduly, motivy, zkompilované šablony a účty správců. - Při podezření koordinujeme prostřednictvím naší [reakce na incidenty](https://phpsos.de/cs/leistungen/incident-response/) vyčištění a obnovení přístupů k rozhraním s vaší agenturou a dodavateli ERP. ## Časté dotazy **Týká se PHP2Shell OXID eShop?** PHP2Shell není zranitelnost OXID, ale zranitelnost PHP. Každý e-shop OXID na serveru s nezáplatovaným PHP je proto potenciálně napadnutelný. Aktualizace OXID zranitelnost neuzavře. **Kde v OXID vidím verzi PHP?** V administraci v nabídce Service > Systeminfo, kde se zobrazují údaje o PHP běžícího e-shopu. Zda je nasazen backport, z toho nepoznáte; potvrdí to váš poskytovatel hostingu nebo provozovatel. **Který soubor OXID obsahuje přístupové údaje?** Soubor config.inc.php v adresáři source. Obsahuje přístup k databázi. Po podezření byste měli změnit heslo k databázi a zkontrolovat soubor, zda neobsahuje vložený kód. **Musíme zkontrolovat své rozhraní k ERP?** Ano. Pokud útočník na serveru e-shopu spustil kód, mohl přečíst přístupové údaje k ERP, PIM nebo platebním službám. Tyto přístupy by se měly po podezření obnovit. ## Zdroje - [php.net: bezpečnostní oznámení](https://www.php.net/) - [OXID eSales](https://www.oxid-esales.com/) - [Podporované verze PHP](https://www.php.net/supported-versions.php) - [BSI (německý spolkový úřad pro informační bezpečnost)](https://www.bsi.bund.de/)