# OXID eShopi turvalisus pärast PHP2Shelli: pood ja liidesed kaitsesse

> OXID eShop pärast PHP2Shelli kaitsesse: kontrollige PHP seisu adminis, vaadake üle config.inc.php ja moodulid, kaitske admin-kontosid ja B2B liideseid.

Allikas: https://phpsos.de/et/plattformen/oxid-eshop/  
Seis: 25.10.2026  
Pakkuja: PHP SOS, PHP hädaabi ja serveri turvalisus. Kohene abi WhatsAppis: https://wa.me/491736494914?text=Tere%2C%20PHP%20SOS%2C%20vajame%20abi%20oma%20PHP-serveriga.%20Ettev%C3%B5te%3A%20%E2%80%A6%20Veebisait%3A%20%E2%80%A6

**Lühidalt:** OXID eShopi turvalisuse puhul on pärast PHP2Shelli kõigepealt tähtis server: turvaauk asub PHP-s, mitte OXID-is. Laske PHP seis kinnitada ja kõik protsessid taaskäivitada. Seejärel kontrollige `config.inc.php`, mooduleid, teemafaile, admin-kontosid ning ligipääse ERP-le ja makseteenustele.

## Miks OXID poed peaksid täpselt vaatama

OXID eShop on saksa keelt kõnelevas ruumis levinud eelkõige B2B-kaubanduses, otsemüügiga tootjate juures ja hulgikaubanduses. Sellised poed on harva eraldiseisvad lahendused: nad vahetavad tellimusi, hindu, laoseise ja kliendiandmeid ERP-, PIM- ja makseteenustega. Poe serveris olev ründaja näeb seetõttu sageli rohkem kui ainult poodi.

PHP turvaaugud CVE-2026-109618 ja CVE-2026-109619 võimaldavad PHP meeskonna andmetel kahjuliku koodi kaugkäivitamist ilma sisselogimiseta. Kas OXID ise on ajakohane, sealjuures rolli ei mängi. Tüüpilised andmed OXID poodides on:

- Äriklientid kontaktisikute, aadresside, kliendinumbrite ja individuaalsete hindadega
- Tellimuste ajalugu ja pakkumispäringud
- Ligipääsuandmed ERP-le, makse- ja saatmisteenustele konfiguratsioonis ja moodulite sätetes
- Töötajate kontod admin-piirkonnas

## OXID eShopi turvalisus: PHP seisu õige kontroll

Admin-piirkonnas näitab **Service > Systeminfo** töötava poe PHP andmeid. See on veebiversioon, millega kliente teenindatakse. OXID-i konsool, impordid ja cron-tööd töötavad seevastu sageli käsurea PHP-ga, mis võib olla teine versioon. Mõlemad peavad olema paigatud.

Upstream'i parandatud versioonid on 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Distributsioonid ja majutajad tarnivad parandusi osaliselt tagasiportimisena (backport), number jääb siis samaks; otsustav on kinnitatud pakettide seis. Milliseid PHP versioone teie OXID-i versioon toetab, kontrollige süsteeminõuete järgi tootja dokumentatsioonis lehel oxid-esales.com.

Vanemad OXID poed 4. põlvkonnast või 6. põlvkonna varased versioonid töötavad sageli veel vanadel PHP versioonidel ilma ametlike uuendusteta. Siis on upgrade'ini vaja vaheaja kaitset ja kindlat ajakava.

## Kataloogid ja failid OXID-is

Alates OXID 6-st paigaldatakse pood Composeriga; dokumendijuur on tavaliselt kataloog `source/`.

| Koht | Sisu | Kontrollpunkt |
|---|---|---|
| `source/config.inc.php` | Andmebaasi ligipääs, põhisätted | Sissetoodud kood, parool kahtluse korral muuta |
| `source/modules/` (kuni OXID 6), alates OXID 7 `vendor/` | Moodulid, osaliselt Composeri pakettidest | Tundmatud moodulid, muudetud failid |
| `var/configuration/` | Mooduli- ja poekonfiguratsioon failidena | Ootamatud muudatused |
| `source/out/` | Teemad, pildid, JavaScript | Võõrad skriptid, PHP failid pildikaustades |
| `source/tmp/` | Kompileeritud mallid ja vahemälu | Pärast puhastamist tühjendada |
| `source/log/` | Poe logi | Enne muudatusi varundada |

Kataloogi `tmp` kompileeritud malle jäetakse sageli tähelepanuta. Need koosnevad PHP koodist ja genereeritakse pärast puhastamist uuesti; seetõttu tuleks kaust pärast iga leidu tühjendada.

Ohutud esimesed kontrollid:

```bash
# PHP failid pildi- ja meediakaustades
find source/out -type f -name "*.php"
# Alates 17.10.2026 muudetud mooduli failid (OXID 6; alates OXID 7 asuvad moodulid kaustas vendor/)
find source/modules -type f -newermt "2026-10-17"
# Sõltuvuste teadaolevad turvaaugud
composer audit
```

> **Oluline:**
> Puhastatud poe server ei tee lekkinud liideste ligipääse taas saladuseks. Uuendage kahtluse korral ligipääsuandmed ERP-le, makse- ja saatmisteenustele kokkuleppel nende haldajatega.

## Admin-piirkond ja moodulid

Admin-piirkond asub vaikimisi aadressil `/admin/`. Kontrollige kasutajahaldust admin-õigustega kontode suhtes, mida keegi ei oska kellelegi omistada, ning endiste teenuseosutajate ligipääsude suhtes. Piirake admin-ligipääs võimaluse korral ettevõtte võrgule või VPN-ile; B2B keskkonnas on see tavaliselt hästi teostatav.

Maksevõimaluste, ERP-liidese, B2B-funktsioonide, nagu astmehinnad või kooskõlastusprotsessid, moodulid on OXID poodides sageli individuaalselt kohandatud. Iga moodul on oma PHP kood ja kohandatud moodulid pidurdavad PHP-upgrade'e sageli. Pange kirja, millised moodulid on aktiivsed, kes neid hooldab ja kas planeeritud PHP versiooni jaoks on olemas versioon.

## Mida OXID-i uuendus suudab ja mida mitte

OXID-i või mooduli uuendus sulgeb selle koodi teadaolevad vead ja võib võimaldada uuemaid PHP versioone. See ei paiga PHP-d ning ei taaskäivita PHP-FPM-i ega taustaprotsesse. Võõrad failid kaustas `source/out`, manipuleeritud moodulid, kompileeritud mallid ja uued admin-kontod jäävad alles. Kas on rünnaku märke, kontrollite lehe [Kas olen juba kompromiteeritud?](https://phpsos.de/et/php2shell/bin-ich-gehackt-anzeichen/) abil. Keskmiste ettevõtete olukorda käsitleb leht [Keskmiste ettevõtete ja tööstuse IT-turvalisus](https://phpsos.de/et/branchen/mittelstand-industrie/).

Paljudel OXID poodidel on lisaks tootmissüsteemile staging-keskkond samal või teisel serveril. Kontrollige ja paigake ka see, sest see sisaldab sageli kliendiandmete koopiat ja on ründajatele sama kasulik.

## Kuidas PHP SOS konkreetselt aitab?

- Teeme kindlaks teie OXID serveri veebi- ja CLI-PHP ning laseme paigatud ja taaskäivituse kinnitada.
- Varundame logid alates 20.10.2026, failid ja andmebaasi.
- Kontrollime `config.inc.php`, mooduleid, teemasid, kompileeritud malle ja admin-kontosid.
- Kahtluse korral koordineerime oma [intsidendile reageerimise](https://phpsos.de/et/leistungen/incident-response/) kaudu puhastamise ja liideste ligipääsude uuendamise teie agentuuri ja ERP-teenuseosutajatega.


## Korduma kippuvad küsimused

**Kas OXID eShop on PHP2Shellist mõjutatud?**  
PHP2Shell ei ole OXID-i turvaauk, vaid PHP turvaauk. Iga OXID pood paigamata PHP serveril on seetõttu potentsiaalselt ründamisele avatud. OXID-i uuendus turvaauku ei sulge.

**Kust ma OXID-is PHP versiooni näen?**  
Admin-piirkonnas menüüs Service > Systeminfo, seal kuvatakse töötava poe PHP andmed. Kas tagasiportimine (backport) on sisse toodud, sellest ei selgu; seda kinnitab teie majutaja või haldaja.

**Milline OXID-i fail sisaldab ligipääsuandmeid?**  
Fail config.inc.php kataloogis source. See sisaldab andmebaasi ligipääsu. Kahtluse korral peaksite andmebaasi parooli muutma ja kontrollima faili sissetoodud koodi suhtes.

**Kas peame oma ERP liidest kontrollima?**  
Jah. Kui ründaja on poe serveris koodi käivitanud, võis ta lugeda ligipääsuandmeid ERP-le, PIM-ile või makseteenustele. Need ligipääsud tuleks kahtluse korral uuendada.

## Allikad

- [php.net: turvateated](https://www.php.net/)
- [OXID eSales](https://www.oxid-esales.com/)
- [Toetatud PHP versioonid](https://www.php.net/supported-versions.php)
- [BSI (Saksamaa föderaalne infoturbeamet)](https://www.bsi.bund.de/)