Go achomair: PHP2Shell is ainm don leochaileacht Magento atá i gceist faoi láthair agus níl sí i Magento, ach i PHP. Ní dhúnann paiste Magento í. Tar éis an nuashonraithe PHP agus an atosaithe, ba cheart duit app/etc/env.php, an bunachar sonraí le haghaidh skimmers agus liosta na gcuntas riarthóra a sheiceáil.
Cad is brí le PHP2Shell do shiopaí Magento
Is feidhmchláir mhóra PHP iad Magento Open Source agus Adobe Commerce a ritheann go hiondúil le PHP-FPM. De réir fhoireann PHP, cuireann na leochaileachtaí CVE-2026-109618 agus CVE-2026-109619 ar chumas cód mailíseach a rith gan logáil isteach. Is cuma sa chás seo an bhfuil an siopa féin cothrom le dáta.
Is sprioc roghnaithe iad siopaí Magento le blianta chun skimming cártaí creidmheasa, ina léitear ionchuir sa seiceáil amach. Osclaíonn PHP2Shell bealach breise chuige sin. Chomhaireamh Palo Alto Networks níos mó ná 22,6 milliún cás nochta de PHP a d'fhéadfadh a bheith leochaileach; níl a fhios cé na siopaí atá ina measc.
Leochaileacht Magento: staid PHP a chinneadh i gceart
Ní thaispeánann Magento an leagan PHP go feiceálach sa riarachán. Seiceáil an staid dá bhrí sin sa phainéal óstála don fhearann nó iarr ar do sholáthraí óstála í a dheimhniú. Ní thaispeánann php -v ar an líne ordaithe ach PHP CLI, lena rithtear bin/magento agus cronjobs. D'fhéadfadh PHP gréasáin trí FPM a bheith ina leagan eile, agus caithfidh an dá cheann a bheith paistithe.
Is iad 8.5.12, 8.4.27, 8.3.36 agus 8.2.35 na leaganacha suas an sruth ceartaithe; féadfaidh uimhreacha níos sine a bheith ag backports dáiltí. Na leaganacha PHP a thacaíonn le do leagan Magento, seiceáil iad de réir cheanglais an chórais i ndoiciméadú Adobe (experienceleague.adobe.com). Le Adobe Commerce ar bhonneagar Adobe, cuir ceist ar Adobe nó ar d'oibreoir faoin staid. Tá treoir céim ar chéim ar fáil in Leagan PHP agus staid phaiste a sheiceáil i gceart.
Cá luíonn cód mailíseach i Magento
| Áit | Ábhar | Pointe seiceála |
|---|---|---|
app/etc/env.php |
Bunachar sonraí, eochair chriptithe, cosán riaracháin | Dáta athraithe, luachanna a athnuachan má bhíonn amhras ort |
pub/ |
Fréamh doiciméad, pub/media, pub/static |
Comhaid PHP i bhfillteáin meán agus static |
app/code/ |
Modúil féin | Modúil anaithnide, comhaid athraithe |
vendor/ |
Pacáistí Composer, eisínteachtaí san áireamh | Neamhréireachtaí ón lockfile |
generated/, var/ |
Cód giniúnaithe, taisce, logaí | Logaí a chosaint, cód a athghiniúint |
| Bunachar sonraí | Cumraíocht, bloic CMS, úsáideoirí riaracháin | Scripteanna coimhthíocha, riarthóirí nua |
Is minic a luíonn skimmers i Magento sa bhunachar sonraí, mar shampla sna socruithe do scripteanna breise sa cheannteideal nó sa bhuntásc agus i mbloic CMS. Ní fheiceann scanadh comhad amháin iad. Cabhraíonn rochtain léite neamhdhíobhálach leis an gcéad amharc (réimír tábla de réir na suiteála):
bin/magento info:adminuri
bin/magento module:status
SELECT username, email, created FROM admin_user;
SELECT path, value FROM core_config_data WHERE path LIKE 'design/%' AND value LIKE '%<script%';
Ní chiallaíonn seiceáil amach glanta nár sceitheadh sonraí. Cosain logaí ón 20 Deireadh Fómhair 2026 i leith agus easpórtálacha bunachair sonraí sula mbaineann tú scripteanna. Is ar an mbealach sin amháin is féidir a shoiléiriú ina dhiaidh sin ón uair cén t-am agus cé na horduithe a bhí i gceist.
An limistéar riaracháin agus eisínteachtaí
Is féidir cosán an riaracháin a roghnú go saor i Magento agus tá sé i env.php. Tá cosán atá deacair a thomhas ciallmhar, ach ní chuireann sé fíordheimhniú dhá fhachtóir ná srian do líonraí aitheanta ina ionad. Seiceáil úsáideoirí riaracháin agus a róil go rialta, chomh maith le comhtháthaithe agus comharthaí API.
Tá eisínteachtaí ó thríú páirtithe líonmhar i Magento: modhanna íocaíochta, ceangail ERP, modúil cuardaigh agus margaíochta. Tugann gach ceann acu cód leis ar gá é a sheiceáil le linn uasghráduithe PHP. Úsáid composer audit go rialta agus bain modúil múchta go hiomlán.
Smaoinigh freisin ar na próisis chúlra. Oibríonn Magento le cronjobs agus go minic le tomhaltóirí scuaine a ritheann mar phróisis PHP ar leith tríd an líne ordaithe. Tar éis an nuashonraithe PHP, ní mór iad sin a atosú díreach mar PHP-FPM. Tar éis athrú ar phríomhleagan PHP, ba cheart duit freisin an cód giniúnaithe i generated/ agus na comhaid statacha a aththógáil agus an siopa a chliceáil tríd i dtimpeallacht thástála sula n-athsheolfar an oibríocht bheo. Conas a éireoidh leis an atosú go néata, tá sé le fáil in PHP-FPM agus gach oibrí a atosú.
Cad is féidir le nuashonrú Magento a dhéanamh agus cad nach féidir
Dúnann eisiúint Magento nó paiste slándála ó Adobe earráidí i gcód an tsiopa. Ní phaistíonn sé PHP, ní atosaíonn sé próisis FPM, ní bhaineann sé scripteanna as an mbunachar sonraí agus ní scriosann sé cuntais riarthóra choimhthíocha. Má rithadh cód cheana, teastaíonn imscrúdú. Conas a aithníonn tú cúldoirse, míníonn Webshells a aithint agus a bhaint é.
Do cheannaithe le híocaíocht cárta, tá sé seo fíor freisin: seiceáil ceanglais do sholáthraí íocaíochta le haghaidh teagmhais slándála agus comhordaigh leis sula n-athnuaíonn tú eochracha. An bhfuil fógra don údarás maoirseachta cosanta sonraí ag teastáil, soiléirigh é le d'oifigeach cosanta sonraí nó le dlíodóir.
Conas a chabhraíonn PHP SOS go nithiúil?
- Soiléirímid PHP gréasáin agus CLI do fhreastalaí Magento agus iarraimid paiste agus atosú a dheimhniú.
- Cosnaímid logaí, comhaid agus an bunachar sonraí ar bhealach intuigthe, más gá trí ár bhfóiréinsic TF.
- Seiceálaimid
env.php,pub/, modúil, táblaí cumraíochta, bloic CMS agus cuntais riarthóra. - Glanaimid, athnuaimid eochracha agus rochtain, agus doiciméadaímid tréimhse na tionchair fhéideartha don chosaint sonraí agus do sholáthraithe íocaíochta.
Ceisteanna coitianta
An ndúnann paiste slándála Magento PHP2Shell freisin?
Ní dhúnann. Ceartaíonn paistí Magento earráidí i gcód an tsiopa. Tá PHP2Shell in ateangaire PHP an fhreastalaí agus ní dhúntar é ach le nuashonrú PHP nó backport deimhnithe agus atosú gach próisis.
Cá gcuireann ionsaitheoirí skimmers cártaí creidmheasa i bhfolach i Magento?
Go minic ní i gcomhaid, ach sa bhunachar sonraí, mar shampla i socruithe do scripteanna breise sa cheannteideal nó i mbloic CMS. Dá bhrí sin, má bhíonn amhras ann, ba cheart seiceáil ar an mbunachar sonraí a bheith san áireamh i gcónaí.
Cé a phaistíonn PHP ag Adobe Commerce sa scamall?
Braitheann sé ar do chonradh agus ar do thimpeallacht. Cuir ceist i scríbhinn ar Adobe nó ar d'oibreoir faoi staid PHP agus faoin atosú. Fanann do eisínteachtaí féin agus ábhar an bhunachair sonraí faoi do fhreagracht.
Cén fáth a bhfuil app/etc/env.php chomh tábhachtach sin?
Tá rochtain bunachair sonraí, an eochair chriptithe agus cosán an limistéir riaracháin sa chomhad. An té a bhí in ann é a léamh, is féidir leis luachanna criptithe a dhíchriptiú agus an riarachán a aimsiú. Má bhíonn amhras ort, ba cheart na luachanna seo a athnuachan.