Lühidalt: Shopware 6 turvaauk, mida paljud kauplejad praegu otsivad, on tegelikult PHP turvaauk. Shopware'i uuendused seda ei sulge. Vajate paigatud PHP-d koos kõigi protsesside taaskäivitusega ning peaksite seejärel kontrollima faili .env, kausta custom/plugins, kataloogi public ja API integratsioone.
Mida PHP2Shell Shopware 6 jaoks tähendab
Shopware 6 põhineb PHP raamistikul Symfony ja töötab tavaliselt PHP-FPM-iga Nginxi või Apache'i taga. Turvaaugud CVE-2026-109618 ja CVE-2026-109619 puudutavad just seda töörežiimi. PHP meeskonna andmetel võimaldavad need kahjuliku koodi kaugkäivitamist ilma poesse sisse logimata.
Serveris koodi käivitada saav ründaja pääseb ligi kõigele, millele pood ise ligi pääseb: kliendiandmed, tellimused, arvedokumendid, ligipääsuandmed kaubavarustussüsteemile ja makseteenuse pakkujatele. Tehnilist tausta selgitame lehel Mis on PHP2Shell?.
Shopware 6 turvaauku kontrollimine: milline PHP tegelikult töötab?
Shopware 6 hooldatakse suures osas käsurealt, näiteks käsuga bin/console. Seejuures on lihtne eksida: php -v näitab käsurea PHP versiooni, mitte tingimata PHP-FPM-i oma, mis poe päringuid töötleb. Paljudes serverites on paralleelselt paigaldatud mitu PHP versiooni.
Usaldusväärsed on konkreetse domeeni kohta majutuspaneelis olev märge ja majutaja kinnitus pakettide seisu kohta. Upstream'i parandatud versioonid on 8.5.12, 8.4.27, 8.3.36 ja 8.2.35; tagasiportimised (backport) võivad kanda vanemaid numbreid. Milliseid PHP versioone teie Shopware'i versioon toetab, kontrollige süsteeminõuete järgi dokumentatsioonis lehel shopware.com. Kuidas ise järele vaadata, on kirjas lehel PHP versiooni ja paigataseme õige kontroll.
Üks asi jääb Shopware 6 puhul sageli märkamata: paljud poed töötlevad sõnumijärjekorda ja ajastatud ülesandeid pidevalt töötavate taustaprotsesside kaudu, näiteks bin/console messenger:consume protsessihalduri all. Need protsessid laadivad PHP ühe korra käivitamisel. Pärast uuendust tuleb seetõttu taaskäivitada mitte ainult PHP-FPM, vaid ka need töötajad. Muidu töötab osa poest edasi vana, haavatava PHP-ga mälus.
Kataloogid ja failid, mida peaksite tundma
| Koht | Sisu | Miks oluline |
|---|---|---|
.env, .env.local |
Andmebaasi ligipääs, APP_SECRET, muud võtmed |
Kahtluse korral uuendada |
public/ |
Dokumendijuur koos index.php, meedia, teema failidega |
Lisa-PHP failid on kahtlased |
public/theme/ |
Poe esiosa kompileeritud JavaScripti ja CSS failid | Sissetoodud skimmerite koht |
custom/plugins/, custom/apps/ |
Laiendused | Muudetud plugina kood |
files/ |
Privaatsed failid, nagu arved ja saatelehed | Isikuandmed |
var/log/ |
Poe logid | Jälgede kindlustamine |
Ohutud esimesed kontrollid:
# Paigaldatud pluginate kuvamine versiooni ja olekuga
bin/console plugin:list
# PHP failide loetlemine avalikus kataloogis
find public -type f -name "*.php"
# Composeri sõltuvuste teadaolevate turvaaukude kuvamine
composer audit
Kaustas public/ peaks olema ainult mõni üksik, teadaolev PHP fail. Kõik tundmatu tuleb varundada ja uurida, mitte kohe kustutada.
Kontrollige administreerimisliideses menüüs Seaded > Süsteem jaotisi „Kasutajad ja õigused“ ja „Integratsioonid“. Tundmatud kasutajad või API integratsioonid on tagauks, mille iga failiskaneering märkamata jätab.
Administraatori ligipääs, pluginad ja rakendused riskina
Administreerimisliides asub vaikimisi aadressil /admin. Kaitske seda isiklike kontode, tugeva sisselogimise ja võimaluse korral ligipääsupiiranguga teadaolevatele võrkudele. Integratsioonidel kaubavarustussüsteemi, turuplatsside või veoteenuse pakkujatega peaksid olema ainult need õigused, mida nad tõesti vajavad.
Poest pärit pluginad ja oma arendused toovad kaasa oma PHP koodi, rakendused lisaks veebihaagid välisserveritesse. Mida rohkem laiendusi, seda suurem on ründepind ja seda töömahukam on iga PHP-upgrade. Eemaldage pluginad, mida enam ei kasutata, täielikult.
Mida Shopware'i uuendus suudab ja mida mitte
Shopware'i või plugina uuendus sulgeb selles koodis teadaolevad vead. See ei saa:
- serveris PHP-d paigata,
- vanu PHP-FPM protsesse taaskäivitada,
- võõraid faile kaustas
public/või manipuleeritud teemafaile kindlalt eemaldada, - võõraid kasutajaid või integratsioone kustutada,
- tõendada, et enne paika midagi ei juhtunud.
Pärast PHP uuendust uuele peaversioonile peaksite vahemälu ja teema uuesti genereerima ning poodi testkeskkonnas kontrollima. PHP vahetuse koos tõendiga võtab soovi korral enda peale meie PHP paigateenus.
Shopware 6 töötab suuremate kauplejate juures sageli mitmes rakendusserveris. Siis peab iga server olema paigatud ja taaskäivitatud, ka need, mis täidavad ainult taustaülesandeid. Kui teenuseosutaja haldab poodi hallatava platvormina, peaks ta teile kõigi sõlmede seisu kinnitama.
Kuidas PHP SOS konkreetselt aitab?
- Teeme kindlaks, millist PHP-d teie pood FPM-i kaudu tegelikult kasutab, ning selgitame paigatud ja taaskäivituse majutaja või agentuuriga.
- Varundame logid alates 20.10.2026, andmebaasi ja failid.
- Kontrollime kataloogi
public/, kompileeritud teemafaile, pluginaid, kasutajaid ja integratsioone kõrvalekallete suhtes. - Leidu korral puhastame poe koos teie agentuuriga ning uuendame võtmed ja ligipääsud korrapäraselt.
Korduma kippuvad küsimused
Kas Shopware 6 ise on PHP2Shellist mõjutatud?
Turvaaugud asuvad PHP-s, mitte Shopware'i koodis. Iga Shopware 6 pood paigamata PHP-l on seetõttu potentsiaalselt ründamisele avatud, olenemata Shopware'i versioonist. Shopware'i uuendus seda ei muuda.
Milline fail on Shopware 6 puhul pärast rünnakut eriti kriitiline?
Fail .env või .env.local andmebaasi ligipääsu ja APP_SECRET-iga. Kes sai selle lugeda, teab teie ligipääsuandmeid. Kahtluse korral tuleks need väärtused uuendada, kooskõlastatult teie agentuuriga.
Mis on Shopware 6 integratsioonid ja miks neid kontrollida?
Integratsioonid on API ligipääsud välissüsteemidele, nagu kaubavarustussüsteem või turuplatsid. Võõras integratsioon administraatoriõigustega võimaldab API kaudu täielikku ligipääsu poele, ilma et serveris oleks ühtki faili.