Röviden: Az OXID eShop biztonsága a PHP2Shell után először a szervert érinti: a rés a PHP-ben van, nem az OXID-ban. Erősíttesse meg a PHP-állapotot, és indíttassa újra az összes folyamatot. Utána ellenőrizze a config.inc.php fájlt, a modulokat, a téma-fájlokat, az admin-fiókokat, valamint az ERP és a fizetési szolgáltatások hozzáféréseit.
Miért kell az OXID-webshopoknak alaposan körülnézniük
Az OXID eShop a német nyelvterületen főként a B2B-kereskedelemben, a közvetlen értékesítést folytató gyártóknál és a nagykereskedelemben elterjedt. Az ilyen webshopok ritkán különálló megoldások: rendeléseket, árakat, készleteket és ügyféladatokat cserélnek az ERP-vel, a PIM-mel és a fizetési szolgáltatásokkal. A webshop szerverén lévő támadó ezért gyakran többet lát, mint csak a webshopot.
A CVE-2026-109618 és a CVE-2026-109619 PHP-rések a PHP-csapat szerint lehetővé teszik kártékony kód távoli futtatását bejelentkezés nélkül. Az nem számít, hogy maga az OXID naprakész-e. Az OXID-webshopok tipikus adatai:
- üzleti ügyfelek kapcsolattartókkal, címekkel, ügyfélszámokkal és egyedi árakkal
- rendelési előzmények és árajánlat-kérések
- az ERP, a fizetési és szállítási szolgáltatások hozzáférési adatai a konfigurációban és a modulbeállításokban
- alkalmazotti fiókok az admin területen
OXID eShop biztonság: a PHP-állapot helyes ellenőrzése
Az Admin területen a Service > Systeminfo megmutatja a futó webshop PHP-adatait. Ez az a webes verzió, amellyel az ügyfeleket kiszolgálják. Az OXID-konzol, az importok és a cron-feladatok ezzel szemben gyakran egy parancssori PHP-val futnak, amely más verzió lehet. Mindkettőnek javítottnak kell lennie.
A javított upstream verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A disztribúciók és a tárhelyszolgáltatók a javításokat részben backportként szállítják, a szám ilyenkor ugyanaz marad; a megerősített csomagállapot a döntő. Hogy az OXID-verziója mely PHP-verziókat támogatja, azt a gyártó dokumentációjában a rendszerkövetelmények szerint az oxid-esales.com oldalon ellenőrizheti.
A 4-es generációjú vagy a 6-os generáció korai verziójú régebbi OXID-webshopok gyakran még régi, hivatalos frissítések nélküli PHP-verziókon futnak. Ilyenkor a frissítésig átmeneti védelemre és szilárd ütemtervre van szükség.
Könyvtárak és fájlok az OXID-ban
Az OXID 6 óta a webshopot Composerrel telepítik; a dokumentumgyökér rendszerint a source/ könyvtár.
| Hely | Tartalom | Ellenőrzési pont |
|---|---|---|
source/config.inc.php |
adatbázis-hozzáférés, alapbeállítások | beszúrt kód, jelszó megváltoztatása gyanú esetén |
source/modules/ (az OXID 6-ig), az OXID 7-től vendor/ |
modulok, részben Composer-csomagokból | ismeretlen modulok, módosított fájlok |
var/configuration/ |
modul- és webshop-konfiguráció fájlokként | váratlan változások |
source/out/ |
témák, képek, JavaScript | idegen szkriptek, PHP-fájlok a képmappákban |
source/tmp/ |
lefordított sablonok és gyorsítótár | tisztítás után kiüríteni |
source/log/ |
a webshop naplója | változtatások előtt mentse |
A tmp könyvtárban lévő lefordított sablonokat gyakran átnézik. PHP-kódból állnak, és tisztítás után újra előállnak; ezért a mappát minden lelet után ki kell üríteni.
Veszélytelen első ellenőrzések:
# PHP-fájlok a kép- és médiamappákban
find source/out -type f -name "*.php"
# A 2026. 10. 17. óta módosított modulfájlok (OXID 6; az OXID 7-től a modulok a vendor/ alatt vannak)
find source/modules -type f -newermt "2026-10-17"
# Ismert rések a függőségekben
composer audit
Egy megtisztított webshop-szerver nem teszi újra titkossá az elszivárgott interfész-hozzáféréseket. Gyanú esetén újítsa meg az ERP, a fizetési és szállítási szolgáltatások hozzáférési adatait, az üzemeltetőikkel egyeztetve.
Admin terület és modulok
Az Admin terület alapértelmezetten az /admin/ alatt található. Ellenőrizze a felhasználókezelést olyan admin-jogú fiókok szempontjából, amelyeket senki sem tud hozzárendelni, valamint a volt szolgáltatók hozzáféréseit. Ha lehet, korlátozza az admin-hozzáférést a céges hálózatra vagy egy VPN-re; a B2B-környezetben ez többnyire jól megoldható.
A fizetési módok, az ERP-kapcsolat, a B2B-funkciók, például a sávos árak vagy a jóváhagyási folyamatok moduljai az OXID-webshopokban gyakran egyedire szabottak. Minden modul saját PHP-kód, és az egyedire szabott modulok gyakran fékezik a PHP-frissítéseket. Jegyezze fel, mely modulok aktívak, ki gondozza őket, és van-e verziójuk a célzott PHP-verzióhoz.
Mit tud egy OXID-frissítés, és mit nem
Az OXID vagy egy modul frissítése lezárja az ebben a kódban lévő hibákat, és lehetővé tehet újabb PHP-verziókat. A PHP-t nem javítja, és sem a PHP-FPM-et, sem a háttérfolyamatokat nem indítja újra. Az idegen fájlok a source/out mappában, a manipulált modulok, a lefordított sablonok és az új admin-fiókok megmaradnak. Hogy vannak-e egy támadás jelei, azt a Feltörték már? oldal segítségével ellenőrizze. A közép-vállalkozások helyzetéhez illik az Informatikai biztonság közép-vállalkozásoknak és iparnak.
Sok OXID-webshopnak az éles rendszer mellett van egy staging-környezete ugyanazon vagy egy második szerveren. Ezt is ellenőrizze és javítsa, mert gyakran tartalmazza az ügyféladatok másolatát, és a támadóknak ugyanolyan hasznos.
Hogyan segít konkrétan a PHP SOS?
- Megállapítjuk az OXID-szervere web- és CLI-s PHP-ját, és megerősíttetjük a javítást és az újraindítást.
- Mentjük a naplókat 2026. 10. 20-tól, a fájlokat és az adatbázist.
- Ellenőrizzük a
config.inc.phpfájlt, a modulokat, a témákat, a lefordított sablonokat és az admin-fiókokat. - Gyanú esetén az incidenskezelésünkön keresztül koordináljuk a tisztítást és az interfész-hozzáférések megújítását az ügynökségével és az ERP-szolgáltatóival.
Gyakori kérdések
Érinti az OXID eShopot a PHP2Shell?
A PHP2Shell nem OXID-rés, hanem a PHP rése. Minden javítatlan PHP-szerveren futó OXID-webshop ezért potenciálisan támadható. Egy OXID-frissítés nem zárja le a rést.
Hol látom az OXID-ban a PHP-verziót?
Az Admin területen a Service > Systeminfo alatt, ott a futó webshop PHP-adatai jelennek meg. Hogy be van-e juttatva backport, abból nem ismerhető fel; ezt a tárhelyszolgáltatója vagy az üzemeltetője erősíti meg.
Melyik OXID-fájl tartalmazza a hozzáférési adatokat?
A source könyvtárban lévő config.inc.php fájl. Az adatbázis-hozzáférést tartalmazza. Gyanú esetén meg kell változtatnia az adatbázis jelszavát, és ellenőriznie kell a fájlt beszúrt kód szempontjából.
Ellenőriznünk kell az ERP-interfészünket?
Igen. Ha egy támadó kódot futtatott a webshop szerverén, kiolvashatta az ERP, a PIM vagy a fizetési szolgáltatások hozzáférési adatait. Ezeket a hozzáféréseket gyanú esetén meg kell újítani.