# OXID eShop sigurnost nakon PHP2Shella: zaštita shopa i sučelja

> Zaštitite OXID eShop nakon PHP2Shella: provjerite stanje PHP-a u adminu, kontrolirajte config.inc.php i module te osigurajte admin račune i B2B sučelja.

Izvor: https://phpsos.de/hr/plattformen/oxid-eshop/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Kod OXID eShop sigurnosti nakon PHP2Shella ponajprije je riječ o poslužitelju: ranjivost je u PHP-u, a ne u OXID-u. Dajte potvrditi stanje PHP-a i ponovno pokrenuti sve procese. Zatim provjerite `config.inc.php`, module, datoteke teme, admin račune te pristupe ERP-u i uslugama plaćanja.

## Zašto bi OXID shopovi trebali pažljivo pogledati

OXID eShop u njemačkom je govornom području raširen ponajprije u B2B trgovini, kod proizvođača s izravnom prodajom i u veleprodaji. Takvi shopovi rijetko su izolirana rješenja: s ERP-om, PIM-om i uslugama plaćanja razmjenjuju narudžbe, cijene, zalihe i podatke o kupcima. Napadač na poslužitelju shopa stoga često vidi više od samog shopa.

PHP ranjivosti CVE-2026-109618 i CVE-2026-109619 prema PHP timu omogućuju zlonamjerni kôd na daljinu bez prijave. Je li sam OXID ažuran, pritom nije važno. Tipični podaci u OXID shopovima su:

- poslovni kupci s kontakt osobama, adresama, brojevima kupaca i individualnim cijenama
- povijest narudžbi i upiti za ponude
- pristupni podaci za ERP, usluge plaćanja i dostave u konfiguraciji i postavkama modula
- računi zaposlenika u administracijskom području

## OXID eShop sigurnost: ispravna provjera stanja PHP-a

U administracijskom području **Servis > Informacije o sustavu** prikazuje PHP podatke shopa koji radi. To je web verzija kojom se poslužuju kupci. OXID konzola, uvozi i cron zadaci pak često rade s PHP-om naredbenog retka, koji može biti druga verzija. Oba moraju biti zakrpana.

Ispravljene upstream verzije su 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Distribucije i pružatelji hostinga ispravke ponekad isporučuju kao backport, broj tada ostaje isti; presudno je potvrđeno stanje paketa. Koje PHP verzije podržava Vaša verzija OXID-a, provjerite prema sistemskim zahtjevima u dokumentaciji proizvođača na oxid-esales.com.

Stariji OXID shopovi generacije 4 ili rane verzije generacije 6 često još rade na starim verzijama PHP-a bez službenih ažuriranja. Tada su do nadogradnje potrebni privremena zaštita i čvrst vremenski plan.

## Direktoriji i datoteke u OXID-u

Od OXID-a 6 shop se instalira putem Composera; korijen dokumenata u pravilu je direktorij `source/`.

| Mjesto | Sadržaj | Točka provjere |
|---|---|---|
| `source/config.inc.php` | Pristup bazi podataka, osnovne postavke | Umetnuti kôd, nakon sumnje promijeniti lozinku |
| `source/modules/` (do OXID-a 6), od OXID-a 7 `vendor/` | Moduli, dijelom iz Composer paketa | Nepoznati moduli, izmijenjene datoteke |
| `var/configuration/` | Konfiguracija modula i shopa kao datoteke | Neočekivane izmjene |
| `source/out/` | Teme, slike, JavaScript | Strane skripte, PHP datoteke u mapama slika |
| `source/tmp/` | Kompilirani predlošci i predmemorija | Isprazniti nakon čišćenja |
| `source/log/` | Zapisnik shopa | Osigurati prije promjena |

Kompilirani predlošci u direktoriju `tmp` često se previde. Sastoje se od PHP kôda i nakon čišćenja se ponovno generiraju; zato bi direktorij nakon svakog nalaza trebalo isprazniti.

Neopasne prve provjere:

```bash
# PHP datoteke u mapama slika i medija
find source/out -type f -name "*.php"
# Datoteke modula izmijenjene od 17.10.2026 (OXID 6; od OXID-a 7 moduli su u vendor/)
find source/modules -type f -newermt "2026-10-17"
# Poznate ranjivosti u ovisnostima
composer audit
```

> **Važno:**
> Očišćen poslužitelj shopa ne vraća tajnost pristupa sučeljima koji su iscurili. Nakon sumnje obnovite pristupne podatke za ERP, usluge plaćanja i dostave u dogovoru s njihovim operaterima.

## Administracijsko područje i moduli

Administracijsko područje nalazi se prema zadanim postavkama na `/admin/`. Provjerite upravljanje korisnicima na račune s admin pravima koje nitko ne može pripisati i na pristupe bivših pružatelja usluga. Ako je moguće, ograničite admin pristup na mrežu tvrtke ili VPN; u B2B okruženju to je uglavnom lako izvedivo.

Moduli za načine plaćanja, ERP integraciju, B2B funkcije poput stupnjevanih cijena ili procesa odobravanja u OXID shopovima često su individualno prilagođeni. Svaki je modul vlastiti PHP kôd, a prilagođeni moduli često usporavaju nadogradnju PHP-a. Zabilježite koji su moduli aktivni, tko ih održava i postoji li verzija za ciljanu verziju PHP-a.

## Što OXID ažuriranje može, a što ne

Ažuriranje OXID-a ili modula zatvara poznate pogreške u tom kôdu i može omogućiti novije verzije PHP-a. Ne zakrpava PHP i ne pokreće ponovno ni PHP-FPM ni pozadinske procese. Strane datoteke u `source/out`, manipulirani moduli, kompilirani predlošci i novi admin računi ostaju. Ima li naznaka napada, provjerite uz [Jesam li već kompromitiran?](https://phpsos.de/hr/php2shell/bin-ich-gehackt-anzeichen/). Uz stanje u srednjim poduzećima odgovara [IT sigurnost za srednja poduzeća i industriju](https://phpsos.de/hr/branchen/mittelstand-industrie/).

Mnogi OXID shopovi uz produkcijski sustav imaju staging okruženje na istom ili drugom poslužitelju. I njega provjerite i zakrpajte jer često sadrži kopiju podataka o kupcima i napadačima je jednako korisno.

## Kako PHP SOS konkretno pomaže?

- Utvrđujemo web i CLI PHP Vašeg OXID poslužitelja te dajemo potvrditi zakrpu i ponovno pokretanje.
- Osiguravamo logove od 20.10.2026., datoteke i bazu podataka.
- Provjeravamo `config.inc.php`, module, teme, kompilirane predloške i admin račune.
- Kod sumnje putem našeg [odgovora na incidente (Incident Response)](https://phpsos.de/hr/leistungen/incident-response/) koordiniramo čišćenje i obnovu pristupa sučeljima s Vašom agencijom i Vašim ERP pružateljima usluga.


## Česta pitanja

**Pogađa li PHP2Shell OXID eShop?**  
PHP2Shell nije OXID ranjivost, nego ranjivost u PHP-u. Svaki OXID shop na nezakrpanom PHP poslužitelju stoga je potencijalno ranjiv. OXID ažuriranje ne zatvara ranjivost.

**Gdje u OXID-u vidim verziju PHP-a?**  
U administracijskom području pod Servis > Informacije o sustavu, gdje se prikazuju PHP podaci shopa koji radi. Je li ugrađen backport, po tome ne prepoznajete; to potvrđuje Vaš pružatelj hostinga ili operater.

**Koja OXID datoteka sadrži pristupne podatke?**  
Datoteka config.inc.php u direktoriju source. Sadrži pristup bazi podataka. Nakon sumnje trebali biste promijeniti lozinku baze podataka i provjeriti datoteku na umetnuti kôd.

**Moramo li provjeriti svoje ERP sučelje?**  
Da. Ako je napadač izvršio kôd na poslužitelju shopa, mogao je pročitati pristupne podatke za ERP, PIM ili usluge plaćanja. Te pristupe treba obnoviti nakon sumnje.

## Izvori

- [php.net: sigurnosne objave](https://www.php.net/)
- [OXID eSales](https://www.oxid-esales.com/)
- [Podržane verzije PHP-a](https://www.php.net/supported-versions.php)
- [BSI](https://www.bsi.bund.de/)