Röviden: A Shopware 6 biztonsági rése, amelyet jelenleg sok kereskedő keres, valójában a PHP egyik rése. A Shopware-frissítések nem zárják le. Javított PHP-ra van szükség az összes folyamat újraindításával, utána pedig érdemes ellenőrizni a .env fájlt, a custom/plugins mappát, a public könyvtárat és az API-integrációkat.
Mit jelent a PHP2Shell a Shopware 6 számára
A Shopware 6 a Symfony PHP-keretrendszerre épül, és többnyire PHP-FPM-mel fut Nginx vagy Apache mögött. A CVE-2026-109618 és a CVE-2026-109619 rések éppen ezt az üzemmódot érintik. A PHP-csapat szerint lehetővé teszik kártékony kód távoli futtatását, a webshopba való bejelentkezés nélkül.
A szerveren kódot futtatni képes támadó mindent elér, amihez maga a webshop is hozzáfér: ügyféladatokat, rendeléseket, számladokumentumokat, az áruházi gazdálkodási rendszer és a fizetési szolgáltatók hozzáférési adatait. A technikai hátteret a Mi az a PHP2Shell? oldalon magyarázzuk el.
A Shopware 6 biztonsági rés ellenőrzése: melyik PHP fut valójában?
A Shopware 6-ot sokat a parancssorból kezelik, például a bin/console paranccsal. Ilyenkor kézenfekvő hiba: a php -v a parancssori PHP verzióját mutatja, nem feltétlenül azét a PHP-FPM-ét, amely a webshop kéréseit dolgozza fel. Sok szerveren több PHP-verzió van párhuzamosan telepítve.
Megbízható a tárhelykezelő panelben az adott domainhez megadott érték és a tárhelyszolgáltató megerősítése a csomagállapotról. A javított upstream verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35; a backportok régebbi számot is viselhetnek. Hogy a Shopware-verziója mely PHP-verziókat támogatja, azt a rendszerkövetelmények szerint a shopware.com dokumentációjában ellenőrizheti. Hogyan nézhet utána maga, azt a A PHP-verzió és a javítási állapot helyes ellenőrzése oldal írja le.
A Shopware 6-nál egy pont gyakran elkerüli a figyelmet: sok webshop az üzenetsort és az ütemezett feladatokat tartósan futó háttérfolyamatokkal dolgozza fel, például a bin/console messenger:consume paranccsal egy folyamatkezelő alatt. Ezek a folyamatok a PHP-t egyszer, induláskor töltik be. A frissítés után ezért nem csak a PHP-FPM-et, hanem ezeket a workereket is újra kell indítani. Különben a webshop egy része tovább dolgozik a memóriában lévő régi, sebezhető PHP-val.
Könyvtárak és fájlok, amelyeket ismernie kell
| Hely | Tartalom | Miért lényeges |
|---|---|---|
.env, .env.local |
adatbázis-hozzáférés, APP_SECRET, további kulcsok |
Gyanú esetén meg kell újítani |
public/ |
dokumentumgyökér az index.php-vel, médiákkal, téma-fájlokkal |
A további PHP-fájlok gyanúsak |
public/theme/ |
a Storefront lefordított JavaScript- és CSS-fájljai | A bejuttatott skimmerek helye |
custom/plugins/, custom/apps/ |
bővítmények | Módosított bővítménykód |
files/ |
privát fájlok, például számlák és szállítólevelek | Személyes adatok |
var/log/ |
a webshop naplói | Nyomok mentése |
Veszélytelen első ellenőrzések:
# A telepített bővítmények megjelenítése verzióval és állapottal
bin/console plugin:list
# A nyilvános könyvtárban lévő PHP-fájlok felsorolása
find public -type f -name "*.php"
# Ismert rések megjelenítése a Composer-függőségekben
composer audit
A public/ mappában csak kevés, ismert PHP-fájlnak szabad lennie. Mindent, ami ismeretlen, le kell menteni és meg kell vizsgálni, nem azonnal törölni.
Az Adminisztrációban a Beállítások > Rendszer alatt nézze át a „Felhasználók és jogok” és az „Integrációk” területet. Az ismeretlen felhasználók vagy API-integrációk olyan hátsó ajtók, amelyeket minden fájlkeresés átnéz.
Admin-hozzáférés, bővítmények és appok mint kockázat
Az Adminisztráció alapértelmezetten a /admin alatt található. Védje személyes fiókokkal, erős bejelentkezéssel, és ha lehet, az ismert hálózatokra korlátozott hozzáféréssel. Az áruházi gazdálkodási rendszerek, piacterek vagy szállítási szolgáltatók integrációinak csak azok a jogai legyenek, amelyekre valóban szükségük van.
Az áruházból származó bővítmények és a saját fejlesztések saját PHP-kódot hoznak magukkal, az appok ezenfelül webhookokat külső szerverekre. Minél több a bővítmény, annál nagyobb a támadási felület, és annál munkaigényesebb minden PHP-frissítés. A már nem használt bővítményeket teljesen távolítsa el.
Mit tud egy Shopware-frissítés, és mit nem
A Shopware vagy egy bővítmény frissítése lezárja az ebben a kódban lévő ismert hibákat. Nem tudja:
- megjavítani a PHP-t a szerveren,
- újraindítani a régi PHP-FPM-folyamatokat,
- biztonságosan eltávolítani az idegen fájlokat a
public/mappából vagy a manipulált téma-fájlokat, - törölni az idegen felhasználókat vagy integrációkat,
- bizonyítani, hogy a javítás előtt nem történt semmi.
Új főverzióra való PHP-frissítés után a gyorsítótárat és a témát újra kell előállítani, a webshopot pedig tesztkörnyezetben ellenőrizni. A PHP-váltást igazolással együtt kérésére a PHP-javítási szolgáltatásunk végzi el.
A Shopware 6 a nagyobb kereskedőknél gyakran több alkalmazásszerveren fut. Ilyenkor minden szervernek javítottnak és újraindítottnak kell lennie, azoknak is, amelyek csak háttérfeladatokat dolgoznak fel. Ha egy szolgáltató menedzselt platformként üzemelteti a webshopot, erősítse meg Önnek az állapotot minden csomópontra.
Hogyan segít konkrétan a PHP SOS?
- Megállapítjuk, melyik PHP-t használja a webshopja ténylegesen az FPM-en keresztül, és a javítást és az újraindítást a tárhelyszolgáltatóval vagy az ügynökséggel tisztázzuk.
- Mentjük a naplókat 2026. 10. 20-tól, az adatbázist és a fájlokat.
- Ellenőrizzük a
public/mappát, a lefordított téma-fájlokat, a bővítményeket, a felhasználókat és az integrációkat rendellenességek szempontjából. - Találat esetén az ügynökségével együtt megtisztítjuk a webshopot, és rendezetten megújítjuk a kulcsokat és a hozzáféréseket.
Gyakori kérdések
Érinti maga a Shopware 6 a PHP2Shellt?
A rések a PHP-ben vannak, nem a Shopware-kódban. Minden javítatlan PHP-n futó Shopware 6 webshop ezért potenciálisan támadható, a Shopware-verziótól függetlenül. Egy Shopware-frissítés ezen nem változtat.
Melyik fájl különösen kritikus a Shopware 6-ban egy támadás után?
A .env vagy .env.local fájl az adatbázis-hozzáféréssel és az APP_SECRET-tel. Aki el tudta olvasni, ismeri a hozzáférési adatait. Gyanú esetén ezeket az értékeket meg kell újítani, az ügynökségével egyeztetve.
Mik az integrációk a Shopware 6-ban, és miért kell ellenőrizni őket?
Az integrációk külső rendszerek, például áruházi gazdálkodási rendszerek vagy piacterek API-hozzáférései. Egy idegen, adminisztrátori jogú integráció az API-n keresztül teljes hozzáférést ad a webshophoz anélkül, hogy bármilyen fájl lenne a szerveren.