Εν συντομία: Η τρέχουσα ευπάθεια ασφαλείας του Magento ονομάζεται PHP2Shell και βρίσκεται όχι στο Magento, αλλά στην PHP. Ένα patch του Magento δεν την κλείνει. Μετά την ενημέρωση της PHP με επανεκκίνηση πρέπει να ελέγξετε το app/etc/env.php, τη βάση δεδομένων για skimmers και τη λίστα των λογαριασμών διαχειριστή.
Τι σημαίνει το PHP2Shell για τα shops Magento
Το Magento Open Source και το Adobe Commerce είναι μεγάλες εφαρμογές PHP που εκτελούνται συνήθως με PHP-FPM. Οι ευπάθειες CVE-2026-109618 και CVE-2026-109619 επιτρέπουν, σύμφωνα με την ομάδα της PHP, την εκτέλεση κακόβουλου κώδικα χωρίς σύνδεση. Το αν το ίδιο το shop είναι ενημερωμένο δεν παίζει εδώ ρόλο.
Τα shops Magento αποτελούν εδώ και χρόνια προνομιακό στόχο για skimming πιστωτικών καρτών, όπου οι καταχωρίσεις στο checkout διαβάζονται κρυφά. Το PHP2Shell ανοίγει γι' αυτό έναν ακόμη δρόμο. Η Palo Alto Networks μέτρησε πάνω από 22,6 εκατομμύρια εκτεθειμένες, δυνητικά ευάλωτες εγκαταστάσεις PHP· ποια shops περιλαμβάνονται σε αυτές δεν είναι γνωστό.
Ευπάθεια Magento: σωστός προσδιορισμός της κατάστασης της PHP
Το Magento δεν εμφανίζει εμφανώς την έκδοση PHP στο admin. Ελέγξτε επομένως την κατάσταση στο πάνελ φιλοξενίας για το domain ή ζητήστε από τον πάροχο φιλοξενίας να την επιβεβαιώσει. Το php -v στη γραμμή εντολών δείχνει μόνο την PHP CLI, με την οποία εκτελούνται το bin/magento και τα cronjobs. Η PHP του ιστού μέσω FPM μπορεί να είναι άλλη έκδοση και πρέπει και οι δύο να έχουν patch.
Οι διορθωμένες εκδόσεις upstream είναι οι 8.5.12, 8.4.27, 8.3.36 και 8.2.35· τα backports των διανομών μπορεί να φέρουν παλαιότερους αριθμούς. Ποιες εκδόσεις PHP υποστηρίζει η έκδοση του Magento σας, ελέγξτε σύμφωνα με τις απαιτήσεις συστήματος στην τεκμηρίωση της Adobe (experienceleague.adobe.com). Στο Adobe Commerce σε υποδομή της Adobe ρωτήστε την Adobe ή τον φορέα λειτουργίας για την κατάσταση. Οδηγό βήμα προς βήμα προσφέρει το Σωστός έλεγχος της έκδοσης PHP και του επιπέδου patch.
Πού κρύβεται κακόβουλος κώδικας στο Magento
| Θέση | Περιεχόμενο | Σημείο ελέγχου |
|---|---|---|
app/etc/env.php |
Βάση δεδομένων, κλειδί κρυπτογράφησης, διαδρομή admin | Ημερομηνία αλλαγής, ανανέωση των τιμών μετά από υποψία |
pub/ |
Ρίζα εγγράφων, pub/media, pub/static |
Αρχεία PHP σε φακέλους media και static |
app/code/ |
Δικές σας ενότητες (modules) | Άγνωστες ενότητες, αλλαγμένα αρχεία |
vendor/ |
Πακέτα Composer, και επεκτάσεις | Αποκλίσεις από το lockfile |
generated/, var/ |
Παραγόμενος κώδικας, cache, logs | Διάσωση logs, νέα δημιουργία κώδικα |
| Βάση δεδομένων | Διαμόρφωση, μπλοκ CMS, χρήστες admin | Ξένα σενάρια, νέοι διαχειριστές |
Οι skimmers βρίσκονται στο Magento συχνά στη βάση δεδομένων, για παράδειγμα στις ρυθμίσεις για πρόσθετα σενάρια στην κεφαλίδα ή στο υποσέλιδο της σελίδας και σε μπλοκ CMS. Μια απλή σάρωση αρχείων τα παραβλέπει. Ακίνδυνες προσβάσεις ανάγνωσης βοηθούν σε μια πρώτη ματιά (το πρόθεμα των πινάκων διαφέρει ανάλογα με την εγκατάσταση):
bin/magento info:adminuri
bin/magento module:status
SELECT username, email, created FROM admin_user;
SELECT path, value FROM core_config_data WHERE path LIKE 'design/%' AND value LIKE '%<script%';
Ένα καθαρισμένο checkout δεν σημαίνει ότι δεν διέρρευσαν δεδομένα. Διασώστε logs από τις 20/10/2026 και αντίγραφα της βάσης δεδομένων προτού αφαιρέσετε σενάρια. Μόνο έτσι μπορεί αργότερα να διαπιστωθεί από πότε και ποιες παραγγελίες επηρεάστηκαν.
Περιοχή διαχείρισης και επεκτάσεις
Η διαδρομή του admin είναι στο Magento ελεύθερα επιλέξιμη και αναγράφεται στο env.php. Μια διαδρομή που δύσκολα μαντεύεται είναι σκόπιμη, δεν αντικαθιστά όμως τη σύνδεση δύο παραγόντων ούτε τον περιορισμό σε γνωστά δίκτυα. Ελέγχετε τακτικά τους χρήστες admin και τους ρόλους τους, καθώς και τις ενσωματώσεις και τα API tokens.
Οι επεκτάσεις τρίτων είναι πολυάριθμες στο Magento: τρόποι πληρωμής, συνδέσεις ERP, ενότητες αναζήτησης και μάρκετινγκ. Καθεμία φέρνει κώδικα που πρέπει να ελέγχεται στις αναβαθμίσεις PHP. Χρησιμοποιείτε τακτικά το composer audit και αφαιρέστε πλήρως τις απενεργοποιημένες ενότητες.
Σκεφτείτε και τις διεργασίες παρασκηνίου. Το Magento λειτουργεί με cronjobs και συχνά με consumers ουρών, που εκτελούνται ως δικές τους διεργασίες PHP από τη γραμμή εντολών. Μετά την ενημέρωση της PHP πρέπει να επανεκκινηθούν και αυτές, όπως το PHP-FPM. Μετά από αλλαγή της κύριας έκδοσης PHP πρέπει επιπλέον να ξαναχτιστούν ο παραγόμενος κώδικας στο generated/ και τα στατικά αρχεία και να δοκιμάσετε το shop σε περιβάλλον δοκιμών προτού ξαναρχίσει η λειτουργία live. Πώς γίνεται σωστά η επανεκκίνηση περιγράφει το Επανεκκίνηση του PHP-FPM και όλων των workers.
Τι μπορεί μια ενημέρωση του Magento και τι όχι
Μια νέα έκδοση του Magento ή ένα patch ασφαλείας της Adobe κλείνει σφάλματα στον κώδικα του shop. Δεν εφαρμόζει patch στην PHP, δεν επανεκκινεί διεργασίες FPM, δεν αφαιρεί σενάρια από τη βάση δεδομένων και δεν διαγράφει ξένους λογαριασμούς admin. Αν έχει ήδη εκτελεστεί κώδικας, χρειάζεται διερεύνηση. Πώς αναγνωρίζετε κερκόπορτες εξηγεί το Εντοπισμός και αφαίρεση webshells.
Για εμπόρους με πληρωμές με κάρτα ισχύει επιπλέον: ελέγξτε τις οδηγίες του παρόχου πληρωμών για περιστατικά ασφαλείας και συνεννοηθείτε μαζί του προτού ανανεώσετε κλειδιά. Το αν απαιτείται γνωστοποίηση στην αρχή προστασίας δεδομένων το διευκρινίζετε με τον υπεύθυνο προστασίας δεδομένων ή με δικηγόρο.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Διευκρινίζουμε την PHP ιστού και CLI του διακομιστή Magento σας και ζητάμε επιβεβαίωση του patch και της επανεκκίνησης.
- Διασώζουμε logs, αρχεία και βάση δεδομένων με τρόπο που μπορεί να ακολουθηθεί, αν χρειαστεί μέσω της ψηφιακής εγκληματολογίας μας.
- Ελέγχουμε το
env.php, τοpub/, τις ενότητες, τους πίνακες διαμόρφωσης, τα μπλοκ CMS και τους λογαριασμούς admin. - Καθαρίζουμε, ανανεώνουμε κλειδιά και προσβάσεις και τεκμηριώνουμε το διάστημα πιθανής επηρεασμού για την προστασία δεδομένων και τον πάροχο πληρωμών.
Συχνές ερωτήσεις
Κλείνει ένα patch ασφαλείας του Magento και το PHP2Shell;
Όχι. Τα patches του Magento διορθώνουν σφάλματα στον κώδικα του shop. Το PHP2Shell βρίσκεται στον διερμηνέα PHP του διακομιστή και κλείνει μόνο με ενημέρωση της PHP ή με επιβεβαιωμένο backport και επανεκκίνηση όλων των διεργασιών.
Πού κρύβουν οι επιτιθέμενοι skimmers πιστωτικών καρτών στο Magento;
Συχνά όχι σε αρχεία, αλλά στη βάση δεδομένων, για παράδειγμα στις ρυθμίσεις για πρόσθετα σενάρια στην κεφαλίδα της σελίδας ή σε μπλοκ CMS. Γι' αυτό μετά από υποψία ανήκει πάντα και ένας έλεγχος της βάσης δεδομένων.
Ποιος εφαρμόζει patch στην PHP στο Adobe Commerce στο cloud;
Εξαρτάται από τη σύμβασή σας και το περιβάλλον σας. Ρωτήστε γραπτά την Adobe ή τον φορέα λειτουργίας σας για την κατάσταση της PHP και την επανεκκίνηση. Οι δικές σας επεκτάσεις και τα περιεχόμενα της βάσης δεδομένων παραμένουν στη δική σας ευθύνη.
Γιατί είναι τόσο σημαντικό το app/etc/env.php;
Το αρχείο περιέχει τα στοιχεία πρόσβασης στη βάση δεδομένων, το κλειδί κρυπτογράφησης και τη διαδρομή προς την περιοχή διαχείρισης. Όποιος μπόρεσε να το διαβάσει μπορεί να αποκρυπτογραφήσει κρυπτογραφημένες τιμές και να βρει το admin. Μετά από υποψία πρέπει να ανανεωθούν αυτές οι τιμές.