Ukratko: Kod OXID eShop sigurnosti nakon PHP2Shella ponajprije je riječ o poslužitelju: ranjivost je u PHP-u, a ne u OXID-u. Dajte potvrditi stanje PHP-a i ponovno pokrenuti sve procese. Zatim provjerite config.inc.php, module, datoteke teme, admin račune te pristupe ERP-u i uslugama plaćanja.
Zašto bi OXID shopovi trebali pažljivo pogledati
OXID eShop u njemačkom je govornom području raširen ponajprije u B2B trgovini, kod proizvođača s izravnom prodajom i u veleprodaji. Takvi shopovi rijetko su izolirana rješenja: s ERP-om, PIM-om i uslugama plaćanja razmjenjuju narudžbe, cijene, zalihe i podatke o kupcima. Napadač na poslužitelju shopa stoga često vidi više od samog shopa.
PHP ranjivosti CVE-2026-109618 i CVE-2026-109619 prema PHP timu omogućuju zlonamjerni kôd na daljinu bez prijave. Je li sam OXID ažuran, pritom nije važno. Tipični podaci u OXID shopovima su:
- poslovni kupci s kontakt osobama, adresama, brojevima kupaca i individualnim cijenama
- povijest narudžbi i upiti za ponude
- pristupni podaci za ERP, usluge plaćanja i dostave u konfiguraciji i postavkama modula
- računi zaposlenika u administracijskom području
OXID eShop sigurnost: ispravna provjera stanja PHP-a
U administracijskom području Servis > Informacije o sustavu prikazuje PHP podatke shopa koji radi. To je web verzija kojom se poslužuju kupci. OXID konzola, uvozi i cron zadaci pak često rade s PHP-om naredbenog retka, koji može biti druga verzija. Oba moraju biti zakrpana.
Ispravljene upstream verzije su 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Distribucije i pružatelji hostinga ispravke ponekad isporučuju kao backport, broj tada ostaje isti; presudno je potvrđeno stanje paketa. Koje PHP verzije podržava Vaša verzija OXID-a, provjerite prema sistemskim zahtjevima u dokumentaciji proizvođača na oxid-esales.com.
Stariji OXID shopovi generacije 4 ili rane verzije generacije 6 često još rade na starim verzijama PHP-a bez službenih ažuriranja. Tada su do nadogradnje potrebni privremena zaštita i čvrst vremenski plan.
Direktoriji i datoteke u OXID-u
Od OXID-a 6 shop se instalira putem Composera; korijen dokumenata u pravilu je direktorij source/.
| Mjesto | Sadržaj | Točka provjere |
|---|---|---|
source/config.inc.php |
Pristup bazi podataka, osnovne postavke | Umetnuti kôd, nakon sumnje promijeniti lozinku |
source/modules/ (do OXID-a 6), od OXID-a 7 vendor/ |
Moduli, dijelom iz Composer paketa | Nepoznati moduli, izmijenjene datoteke |
var/configuration/ |
Konfiguracija modula i shopa kao datoteke | Neočekivane izmjene |
source/out/ |
Teme, slike, JavaScript | Strane skripte, PHP datoteke u mapama slika |
source/tmp/ |
Kompilirani predlošci i predmemorija | Isprazniti nakon čišćenja |
source/log/ |
Zapisnik shopa | Osigurati prije promjena |
Kompilirani predlošci u direktoriju tmp često se previde. Sastoje se od PHP kôda i nakon čišćenja se ponovno generiraju; zato bi direktorij nakon svakog nalaza trebalo isprazniti.
Neopasne prve provjere:
# PHP datoteke u mapama slika i medija
find source/out -type f -name "*.php"
# Datoteke modula izmijenjene od 17.10.2026 (OXID 6; od OXID-a 7 moduli su u vendor/)
find source/modules -type f -newermt "2026-10-17"
# Poznate ranjivosti u ovisnostima
composer audit
Očišćen poslužitelj shopa ne vraća tajnost pristupa sučeljima koji su iscurili. Nakon sumnje obnovite pristupne podatke za ERP, usluge plaćanja i dostave u dogovoru s njihovim operaterima.
Administracijsko područje i moduli
Administracijsko područje nalazi se prema zadanim postavkama na /admin/. Provjerite upravljanje korisnicima na račune s admin pravima koje nitko ne može pripisati i na pristupe bivših pružatelja usluga. Ako je moguće, ograničite admin pristup na mrežu tvrtke ili VPN; u B2B okruženju to je uglavnom lako izvedivo.
Moduli za načine plaćanja, ERP integraciju, B2B funkcije poput stupnjevanih cijena ili procesa odobravanja u OXID shopovima često su individualno prilagođeni. Svaki je modul vlastiti PHP kôd, a prilagođeni moduli često usporavaju nadogradnju PHP-a. Zabilježite koji su moduli aktivni, tko ih održava i postoji li verzija za ciljanu verziju PHP-a.
Što OXID ažuriranje može, a što ne
Ažuriranje OXID-a ili modula zatvara poznate pogreške u tom kôdu i može omogućiti novije verzije PHP-a. Ne zakrpava PHP i ne pokreće ponovno ni PHP-FPM ni pozadinske procese. Strane datoteke u source/out, manipulirani moduli, kompilirani predlošci i novi admin računi ostaju. Ima li naznaka napada, provjerite uz Jesam li već kompromitiran?. Uz stanje u srednjim poduzećima odgovara IT sigurnost za srednja poduzeća i industriju.
Mnogi OXID shopovi uz produkcijski sustav imaju staging okruženje na istom ili drugom poslužitelju. I njega provjerite i zakrpajte jer često sadrži kopiju podataka o kupcima i napadačima je jednako korisno.
Kako PHP SOS konkretno pomaže?
- Utvrđujemo web i CLI PHP Vašeg OXID poslužitelja te dajemo potvrditi zakrpu i ponovno pokretanje.
- Osiguravamo logove od 20.10.2026., datoteke i bazu podataka.
- Provjeravamo
config.inc.php, module, teme, kompilirane predloške i admin račune. - Kod sumnje putem našeg odgovora na incidente (Incident Response) koordiniramo čišćenje i obnovu pristupa sučeljima s Vašom agencijom i Vašim ERP pružateljima usluga.
Česta pitanja
Pogađa li PHP2Shell OXID eShop?
PHP2Shell nije OXID ranjivost, nego ranjivost u PHP-u. Svaki OXID shop na nezakrpanom PHP poslužitelju stoga je potencijalno ranjiv. OXID ažuriranje ne zatvara ranjivost.
Gdje u OXID-u vidim verziju PHP-a?
U administracijskom području pod Servis > Informacije o sustavu, gdje se prikazuju PHP podaci shopa koji radi. Je li ugrađen backport, po tome ne prepoznajete; to potvrđuje Vaš pružatelj hostinga ili operater.
Koja OXID datoteka sadrži pristupne podatke?
Datoteka config.inc.php u direktoriju source. Sadrži pristup bazi podataka. Nakon sumnje trebali biste promijeniti lozinku baze podataka i provjeriti datoteku na umetnuti kôd.
Moramo li provjeriti svoje ERP sučelje?
Da. Ako je napadač izvršio kôd na poslužitelju shopa, mogao je pročitati pristupne podatke za ERP, PIM ili usluge plaćanja. Te pristupe treba obnoviti nakon sumnje.