# Magenton haavoittuvuus PHP2Shell: Magenton ja Adobe Commercen suojaus

> Magenton ja Adobe Commercen suojaus PHP2Shellin jälkeen: PHP-tila selville, env.php suojaan, skimmerit tietokannasta, ylläpitäjät tarkistukseen.

Lähde: https://phpsos.de/fi/plattformen/magento-adobe-commerce/  
Tilanne: 25.10.2026  
Palveluntarjoaja: PHP SOS, PHP-hätäapu ja palvelimen tietoturva. Pikaapu WhatsAppilla: https://wa.me/491736494914?text=Hei%20PHP%20SOS%2C%20tarvitsemme%20apua%20PHP-palvelimemme%20kanssa.%20Yritys%3A%20%E2%80%A6%20Verkkosivusto%3A%20%E2%80%A6

**Lyhyesti:** Ajankohtainen Magenton haavoittuvuus on nimeltään PHP2Shell, ja se on PHP:ssä, ei Magentossa. Magento-paikkaus ei sulje sitä. PHP-päivityksen ja uudelleenkäynnistyksen jälkeen kannattaa tarkistaa `app/etc/env.php`, tietokanta skimmerien varalta ja ylläpitäjätilien luettelo.

## Mitä PHP2Shell tarkoittaa Magento-kaupoille

Magento Open Source ja Adobe Commerce ovat suuria PHP-sovelluksia, jotka toimivat yleensä PHP-FPM:llä. PHP-tiimin mukaan haavoittuvuudet CVE-2026-109618 ja CVE-2026-109619 sallivat haittakoodin suorittamisen ilman kirjautumista. Sillä, onko itse kauppa ajan tasalla, ei ole tässä merkitystä.

Magento-kaupat ovat jo vuosia olleet suosittu kohde luottokorttien skimmaukselle, jossa kassan syötteet luetaan. PHP2Shell avaa siihen yhden uuden reitin. Palo Alto Networks laski yli 22,6 miljoonaa altistunutta, mahdollisesti haavoittuvaa PHP-instanssia; mitä kauppoja niiden joukossa on, ei tiedetä.

## Magenton haavoittuvuus: PHP-tilan selvittäminen oikein

Magento ei näytä PHP-versiota selvästi hallinnassa. Tarkistakaa tila siksi verkkotunnuksen hosting-paneelista tai pyytäkää palveluntarjoajaa vahvistamaan se. `php -v` komentorivillä näyttää vain CLI-PHP:n, jolla `bin/magento` ja cron-ajot toimivat. FPM:n kautta toimiva verkko-PHP voi olla eri versio, ja molempien on oltava korjattuja.

Korjatut upstream-versiot ovat 8.5.12, 8.4.27, 8.3.36 ja 8.2.35; jakelujen backportit voivat kantaa vanhempia numeroita. Mitä PHP-versioita teidän Magento-versionne tukee, tarkistatte Adoben dokumentaation järjestelmävaatimuksista (experienceleague.adobe.com). Adoben infrastruktuurissa toimivassa Adobe Commercessa kysykää tilaa Adobelta tai ylläpitäjältänne. Vaihe vaiheelta etenevän ohjeen löydätte sivulta [PHP-version ja korjaustilan tarkistaminen oikein](https://phpsos.de/fi/php2shell/php-version-pruefen/).

## Missä haittakoodi Magentossa piilee

| Paikka | Sisältö | Tarkistuskohde |
|---|---|---|
| `app/etc/env.php` | Tietokanta, salausavain, hallinnan polku | Muutospäivä, arvot uusittava epäilyn jälkeen |
| `pub/` | Dokumenttijuuri, `pub/media`, `pub/static` | PHP-tiedostot media- ja static-kansioissa |
| `app/code/` | omat moduulit | tuntemattomat moduulit, muutetut tiedostot |
| `vendor/` | Composer-paketit, myös laajennukset | poikkeamat lukkotiedostosta |
| `generated/`, `var/` | generoitu koodi, välimuisti, lokit | lokit talteen, koodi generoidaan uudelleen |
| Tietokanta | asetukset, CMS-lohkot, hallintakäyttäjät | vieraat skriptit, uudet ylläpitäjät |

Skimmerit ovat Magentossa usein tietokannassa, esimerkiksi sivun ylä- tai alaosan lisäskriptien asetuksissa ja CMS-lohkoissa. Pelkkä tiedostoskannaus ei löydä niitä. Vaarattomat lukukyselyt auttavat ensisilmäyksessä (taulujen etuliite asennuksesta riippuen):

```bash
bin/magento info:adminuri
bin/magento module:status
```

```sql
SELECT username, email, created FROM admin_user;
SELECT path, value FROM core_config_data WHERE path LIKE 'design/%' AND value LIKE '%<script%';
```

> **Tärkeää:**
> Puhdistettu kassa ei tarkoita, ettei tietoja ole vuotanut. Varmuuskopioikaa lokit 20.10.2026 alkaen ja tietokantavedokset, ennen kuin poistatte skriptejä. Vain siten voi myöhemmin selvittää, mistä alkaen ja mitkä tilaukset ovat olleet vaarassa.

## Hallinta-alue ja laajennukset

Magentossa hallinnan polun voi valita vapaasti, ja se on tiedostossa `env.php`. Vaikeasti arvattava polku on järkevä, mutta ei korvaa kaksivaiheista tunnistautumista eikä rajausta tunnettuihin verkkoihin. Tarkistakaa hallintakäyttäjät ja heidän roolinsa säännöllisesti, samoin integraatiot ja API-tokenit.

Kolmansien osapuolten laajennuksia on Magentossa runsaasti: maksutavat, ERP-liitännät, haku- ja markkinointimoduulit. Jokainen tuo koodia, joka on tarkistettava PHP-päivityksissä. Käyttäkää `composer audit` -komentoa säännöllisesti ja poistakaa käytöstä poistetut moduulit kokonaan.

Ajatelkaa myös taustaprosesseja. Magento toimii cron-ajoilla ja usein jonojen kuluttajilla, jotka ajetaan omina PHP-prosesseinaan komentoriviltä. PHP-päivityksen jälkeen nekin on käynnistettävä uudelleen PHP-FPM:n tavoin. PHP:n pääversion vaihdon jälkeen kannattaa lisäksi antaa uudelleenrakentaa hakemiston `generated/` generoitu koodi ja staattiset tiedostot sekä käydä kauppa läpi testiympäristössä, ennen kuin tuotantokäyttö jatkuu. Miten uudelleenkäynnistys onnistuu siististi, kuvataan sivulla [PHP-FPM:n ja kaikkien workerien uudelleenkäynnistys](https://phpsos.de/fi/php2shell/php-fpm-neustart/).

## Mihin Magento-päivitys pystyy ja mihin ei

Magenton julkaisu tai Adoben tietoturvapaikkaus sulkee kaupan koodin virheitä. Se ei korjaa PHP:tä, ei käynnistä FPM-prosesseja uudelleen, ei poista skriptejä tietokannasta eikä poista vieraita ylläpitäjätilejä. Jos koodia on jo ehditty suorittaa, tarvitaan tutkimus. Takaovien tunnistamisen selittää opas [Web shellien tunnistaminen ja poisto](https://phpsos.de/fi/ratgeber/webshell-erkennen/).

Kortilla maksavia kauppiaita koskee lisäksi: tarkistakaa maksupalveluntarjoajanne ohjeet tietoturvapoikkeamista ja sopikaa sen kanssa ennen avainten uusimista. Tarvitaanko ilmoitus tietosuojaviranomaiselle, selvitätte tietosuojavastaavanne tai lakimiehenne kanssa.

## Miten PHP SOS auttaa konkreettisesti?

- Selvitämme Magento-palvelimenne verkko- ja CLI-PHP:n ja varmennamme korjauksen ja uudelleenkäynnistyksen.
- Varmuuskopioimme lokit, tiedostot ja tietokannan jäljitettävästi, tarvittaessa [IT-forensiikkamme](https://phpsos.de/fi/leistungen/it-forensik/) kautta.
- Tarkistamme `env.php`:n, `pub/`-hakemiston, moduulit, asetustaulut, CMS-lohkot ja ylläpitäjätilit.
- Puhdistamme, uusimme avaimet ja tunnukset ja dokumentoimme mahdollisen altistumisen ajanjakson tietosuojaa ja maksupalveluntarjoajaa varten.


## Usein kysytyt kysymykset

**Sulkeeko Magenton tietoturvapaikkaus myös PHP2Shellin?**  
Ei. Magento-paikkaukset korjaavat kaupan koodin virheitä. PHP2Shell on palvelimen PHP-tulkissa, ja se suljetaan vain PHP-päivityksellä tai vahvistetulla backportilla ja kaikkien prosessien uudelleenkäynnistyksellä.

**Minne hyökkääjät piilottavat luottokorttiskimmerit Magentossa?**  
Usein ei tiedostoihin vaan tietokantaan, esimerkiksi sivun yläosan lisäskriptien asetuksiin tai CMS-lohkoihin. Siksi epäilyn jälkeen on aina tarkistettava myös tietokanta.

**Kuka korjaa PHP:n Adobe Commercessa pilvessä?**  
Se riippuu sopimuksestanne ja ympäristöstänne. Kysykää Adobelta tai ylläpitäjältänne kirjallisesti PHP:n tilaa ja uudelleenkäynnistystä. Omat laajennukset ja tietokannan sisältö jäävät teidän vastuullenne.

**Miksi app/etc/env.php on niin tärkeä?**  
Tiedosto sisältää tietokantatunnukset, salausavaimen ja hallinta-alueen polun. Jos joku on voinut lukea sen, hän voi purkaa salatut arvot ja löytää hallinnan. Epäilyn jälkeen nämä arvot kannattaa uusia.

## Lähteet

- [php.net: tietoturvatiedotteet](https://www.php.net/)
- [Adobe Commerce](https://business.adobe.com/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [Palo Alto/TechTarget: altistuneet instanssit](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)