Lühidalt: OXID eShopi turvalisuse puhul on pärast PHP2Shelli kõigepealt tähtis server: turvaauk asub PHP-s, mitte OXID-is. Laske PHP seis kinnitada ja kõik protsessid taaskäivitada. Seejärel kontrollige config.inc.php, mooduleid, teemafaile, admin-kontosid ning ligipääse ERP-le ja makseteenustele.
Miks OXID poed peaksid täpselt vaatama
OXID eShop on saksa keelt kõnelevas ruumis levinud eelkõige B2B-kaubanduses, otsemüügiga tootjate juures ja hulgikaubanduses. Sellised poed on harva eraldiseisvad lahendused: nad vahetavad tellimusi, hindu, laoseise ja kliendiandmeid ERP-, PIM- ja makseteenustega. Poe serveris olev ründaja näeb seetõttu sageli rohkem kui ainult poodi.
PHP turvaaugud CVE-2026-109618 ja CVE-2026-109619 võimaldavad PHP meeskonna andmetel kahjuliku koodi kaugkäivitamist ilma sisselogimiseta. Kas OXID ise on ajakohane, sealjuures rolli ei mängi. Tüüpilised andmed OXID poodides on:
- Äriklientid kontaktisikute, aadresside, kliendinumbrite ja individuaalsete hindadega
- Tellimuste ajalugu ja pakkumispäringud
- Ligipääsuandmed ERP-le, makse- ja saatmisteenustele konfiguratsioonis ja moodulite sätetes
- Töötajate kontod admin-piirkonnas
OXID eShopi turvalisus: PHP seisu õige kontroll
Admin-piirkonnas näitab Service > Systeminfo töötava poe PHP andmeid. See on veebiversioon, millega kliente teenindatakse. OXID-i konsool, impordid ja cron-tööd töötavad seevastu sageli käsurea PHP-ga, mis võib olla teine versioon. Mõlemad peavad olema paigatud.
Upstream'i parandatud versioonid on 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Distributsioonid ja majutajad tarnivad parandusi osaliselt tagasiportimisena (backport), number jääb siis samaks; otsustav on kinnitatud pakettide seis. Milliseid PHP versioone teie OXID-i versioon toetab, kontrollige süsteeminõuete järgi tootja dokumentatsioonis lehel oxid-esales.com.
Vanemad OXID poed 4. põlvkonnast või 6. põlvkonna varased versioonid töötavad sageli veel vanadel PHP versioonidel ilma ametlike uuendusteta. Siis on upgrade'ini vaja vaheaja kaitset ja kindlat ajakava.
Kataloogid ja failid OXID-is
Alates OXID 6-st paigaldatakse pood Composeriga; dokumendijuur on tavaliselt kataloog source/.
| Koht | Sisu | Kontrollpunkt |
|---|---|---|
source/config.inc.php |
Andmebaasi ligipääs, põhisätted | Sissetoodud kood, parool kahtluse korral muuta |
source/modules/ (kuni OXID 6), alates OXID 7 vendor/ |
Moodulid, osaliselt Composeri pakettidest | Tundmatud moodulid, muudetud failid |
var/configuration/ |
Mooduli- ja poekonfiguratsioon failidena | Ootamatud muudatused |
source/out/ |
Teemad, pildid, JavaScript | Võõrad skriptid, PHP failid pildikaustades |
source/tmp/ |
Kompileeritud mallid ja vahemälu | Pärast puhastamist tühjendada |
source/log/ |
Poe logi | Enne muudatusi varundada |
Kataloogi tmp kompileeritud malle jäetakse sageli tähelepanuta. Need koosnevad PHP koodist ja genereeritakse pärast puhastamist uuesti; seetõttu tuleks kaust pärast iga leidu tühjendada.
Ohutud esimesed kontrollid:
# PHP failid pildi- ja meediakaustades
find source/out -type f -name "*.php"
# Alates 17.10.2026 muudetud mooduli failid (OXID 6; alates OXID 7 asuvad moodulid kaustas vendor/)
find source/modules -type f -newermt "2026-10-17"
# Sõltuvuste teadaolevad turvaaugud
composer audit
Puhastatud poe server ei tee lekkinud liideste ligipääse taas saladuseks. Uuendage kahtluse korral ligipääsuandmed ERP-le, makse- ja saatmisteenustele kokkuleppel nende haldajatega.
Admin-piirkond ja moodulid
Admin-piirkond asub vaikimisi aadressil /admin/. Kontrollige kasutajahaldust admin-õigustega kontode suhtes, mida keegi ei oska kellelegi omistada, ning endiste teenuseosutajate ligipääsude suhtes. Piirake admin-ligipääs võimaluse korral ettevõtte võrgule või VPN-ile; B2B keskkonnas on see tavaliselt hästi teostatav.
Maksevõimaluste, ERP-liidese, B2B-funktsioonide, nagu astmehinnad või kooskõlastusprotsessid, moodulid on OXID poodides sageli individuaalselt kohandatud. Iga moodul on oma PHP kood ja kohandatud moodulid pidurdavad PHP-upgrade'e sageli. Pange kirja, millised moodulid on aktiivsed, kes neid hooldab ja kas planeeritud PHP versiooni jaoks on olemas versioon.
Mida OXID-i uuendus suudab ja mida mitte
OXID-i või mooduli uuendus sulgeb selle koodi teadaolevad vead ja võib võimaldada uuemaid PHP versioone. See ei paiga PHP-d ning ei taaskäivita PHP-FPM-i ega taustaprotsesse. Võõrad failid kaustas source/out, manipuleeritud moodulid, kompileeritud mallid ja uued admin-kontod jäävad alles. Kas on rünnaku märke, kontrollite lehe Kas olen juba kompromiteeritud? abil. Keskmiste ettevõtete olukorda käsitleb leht Keskmiste ettevõtete ja tööstuse IT-turvalisus.
Paljudel OXID poodidel on lisaks tootmissüsteemile staging-keskkond samal või teisel serveril. Kontrollige ja paigake ka see, sest see sisaldab sageli kliendiandmete koopiat ja on ründajatele sama kasulik.
Kuidas PHP SOS konkreetselt aitab?
- Teeme kindlaks teie OXID serveri veebi- ja CLI-PHP ning laseme paigatud ja taaskäivituse kinnitada.
- Varundame logid alates 20.10.2026, failid ja andmebaasi.
- Kontrollime
config.inc.php, mooduleid, teemasid, kompileeritud malle ja admin-kontosid. - Kahtluse korral koordineerime oma intsidendile reageerimise kaudu puhastamise ja liideste ligipääsude uuendamise teie agentuuri ja ERP-teenuseosutajatega.
Korduma kippuvad küsimused
Kas OXID eShop on PHP2Shellist mõjutatud?
PHP2Shell ei ole OXID-i turvaauk, vaid PHP turvaauk. Iga OXID pood paigamata PHP serveril on seetõttu potentsiaalselt ründamisele avatud. OXID-i uuendus turvaauku ei sulge.
Kust ma OXID-is PHP versiooni näen?
Admin-piirkonnas menüüs Service > Systeminfo, seal kuvatakse töötava poe PHP andmed. Kas tagasiportimine (backport) on sisse toodud, sellest ei selgu; seda kinnitab teie majutaja või haldaja.
Milline OXID-i fail sisaldab ligipääsuandmeid?
Fail config.inc.php kataloogis source. See sisaldab andmebaasi ligipääsu. Kahtluse korral peaksite andmebaasi parooli muutma ja kontrollima faili sissetoodud koodi suhtes.
Kas peame oma ERP liidest kontrollima?
Jah. Kui ründaja on poe serveris koodi käivitanud, võis ta lugeda ligipääsuandmeid ERP-le, PIM-ile või makseteenustele. Need ligipääsud tuleks kahtluse korral uuendada.