Trumpai: OXID eShop saugumo atveju po PHP2Shell pirmiausia svarbus serveris: spraga yra PHP, o ne OXID. Leiskite patvirtinti PHP būseną ir iš naujo paleisti visus procesus. Po to patikrinkite config.inc.php, modulius, temos failus, administratorių paskyras ir prieigas prie ERP bei mokėjimo paslaugų.
Kodėl OXID parduotuvės turi būti vertinamos atidžiai
OXID eShop vokiškai kalbančiuose kraštuose paplitęs ypač B2B prekyboje, pas gamintojus su tiesioginiu pardavimu ir didmeninėje prekyboje. Tokios parduotuvės retai būna atskiri sprendimai: jos keičiasi užsakymais, kainomis, atsargomis ir klientų duomenimis su ERP, PIM ir mokėjimo paslaugomis. Todėl užpuolikas parduotuvės serveryje dažnai mato daugiau nei vien parduotuvę.
PHP spragos CVE-2026-109618 ir CVE-2026-109619, PHP komandos teigimu, leidžia vykdyti kenkėjišką kodą nuotoliniu būdu be prisijungimo. Ar pats OXID naujausias, čia nesvarbu. Tipiniai duomenys OXID parduotuvėse:
- verslo klientai su kontaktiniais asmenimis, adresais, klientų numeriais ir individualiomis kainomis
- užsakymų istorija ir pasiūlymų užklausos
- prieigos duomenys prie ERP, mokėjimo ir siuntimo paslaugų konfigūracijoje ir modulių nustatymuose
- darbuotojų paskyros administravimo srityje
OXID eShop saugumas: kaip teisingai patikrinti PHP būseną
Administravimo srityje Paslauga > Sistemos informacija rodo veikiančios parduotuvės PHP duomenis. Tai žiniatinklio versija, kuria aptarnaujami klientai. OXID konsolė, importai ir cron užduotys, priešingai, dažnai veikia su komandinės eilutės PHP, kuris gali būti kitos versijos. Abu turi būti pataisyti.
Ištaisytos oficialios (upstream) versijos yra 8.5.12, 8.4.27, 8.3.36 ir 8.2.35. Distribucijos ir talpintojai taisymus kartais pateikia kaip atgalinį perkėlimą (backport), tada numeris lieka toks pats; lemia patvirtinta paketų būsena. Kurias PHP versijas palaiko jūsų OXID versija, pagal sistemos reikalavimus gamintojo dokumentacijoje patikrinkite oxid-esales.com.
Senesnės 4 kartos OXID parduotuvės ar ankstyvosios 6 kartos versijos dažnai vis dar veikia su senomis PHP versijomis be oficialių atnaujinimų. Tada iki atnaujinimo reikia pereinamosios apsaugos ir aiškaus laiko plano.
Katalogai ir failai OXID
Nuo OXID 6 parduotuvė diegiama per Composer; dokumentų šaknis paprastai yra katalogas source/.
| Vieta | Turinys | Patikros punktas |
|---|---|---|
source/config.inc.php |
Duomenų bazės prieiga, pagrindiniai nustatymai | įterptas kodas, kilus įtarimui pakeisti slaptažodį |
source/modules/ (iki OXID 6), nuo OXID 7 vendor/ |
Moduliai, iš dalies iš Composer paketų | nežinomi moduliai, pakeisti failai |
var/configuration/ |
Modulių ir parduotuvės konfigūracija failais | netikėti pakeitimai |
source/out/ |
Temos, paveikslėliai, JavaScript | svetimi scenarijai, PHP failai paveikslėlių aplankuose |
source/tmp/ |
sukompiliuoti šablonai ir talpykla | po išvalymo ištuštinti |
source/log/ |
Parduotuvės žurnalas | išsaugoti prieš keitimus |
Sukompiliuoti šablonai tmp kataloge dažnai praleidžiami. Jie sudaryti iš PHP kodo ir po išvalymo sugeneruojami iš naujo; todėl po kiekvieno radinio aplanką reikėtų ištuštinti.
Nepavojingos pirmosios patikros:
# PHP failai paveikslėlių ir medijos aplankuose
find source/out -type f -name "*.php"
# Nuo 2026 m. spalio 17 d. pakeisti modulių failai (OXID 6; nuo OXID 7 moduliai yra vendor/)
find source/modules -type f -newermt "2026-10-17"
# Žinomos priklausomybių spragos
composer audit
Išvalytas parduotuvės serveris nepadaro vėl slaptų nutekėjusių sąsajų prieigų. Kilus įtarimui, suderinę su jų operatoriais, atnaujinkite prieigos duomenis prie ERP, mokėjimo ir siuntimo paslaugų.
Administravimo sritis ir moduliai
Administravimo sritis pagal numatytuosius nustatymus yra adresu /admin/. Patikrinkite naudotojų valdymą dėl paskyrų su administratoriaus teisėmis, kurių niekas negali priskirti, ir dėl buvusių paslaugų teikėjų prieigų. Jei įmanoma, apribokite administratoriaus prieigą įmonės tinklu ar VPN; B2B aplinkoje tai paprastai gerai įgyvendinama.
Mokėjimo būdų, ERP integracijos, B2B funkcijų, tokių kaip kainų pakopos ar patvirtinimo procesai, moduliai OXID parduotuvėse dažnai pritaikyti individualiai. Kiekvienas modulis yra savas PHP kodas, o pritaikyti moduliai dažnai stabdo PHP atnaujinimus. Užfiksuokite, kurie moduliai aktyvūs, kas juos prižiūri ir ar yra versija siekiamai PHP versijai.
Ką gali OXID atnaujinimas ir ko ne
OXID ar modulio atnaujinimas uždaro šio kodo klaidas ir gali leisti naudoti naujesnes PHP versijas. Jis netaiso PHP ir nepaleidžia iš naujo nei PHP-FPM, nei foninių procesų. Svetimi failai source/out, pakeisti moduliai, sukompiliuoti šablonai ir naujos administratorių paskyros lieka. Ar yra išpuolio požymių, patikrinkite pagal Ar jau esu kompromituotas?. Vidutinio verslo padėčiai tinka IT sauga vidutiniam verslui ir pramonei.
Daug OXID parduotuvių be gyvos sistemos turi bandomąją (staging) aplinką tame pačiame ar antrame serveryje. Patikrinkite ir pataisykite ir ją, nes joje dažnai yra klientų duomenų kopija ir ji užpuolikams tiek pat naudinga.
Kaip PHP SOS padeda konkrečiai?
- Nustatome jūsų OXID serverio žiniatinklio ir CLI PHP ir leidžiame patvirtinti pataisą bei paleidimą iš naujo.
- Išsaugome žurnalus nuo 2026 m. spalio 20 d., failus ir duomenų bazę.
- Tikriname
config.inc.php, modulius, temas, sukompiliuotus šablonus ir administratorių paskyras. - Kilus įtarimui per mūsų incidentų valdymą (Incident Response) koordinuojame išvalymą ir sąsajų prieigų atnaujinimą su jūsų agentūra ir ERP paslaugų teikėjais.
Dažni klausimai
Ar OXID eShop paveiktas PHP2Shell?
PHP2Shell yra ne OXID, o PHP spraga. Todėl kiekviena OXID parduotuvė nepataisytame PHP serveryje potencialiai pažeidžiama. OXID atnaujinimas spragos neuždaro.
Kur OXID matau PHP versiją?
Administravimo srityje skiltyje Paslauga > Sistemos informacija (Systeminfo), kurioje rodomi veikiančios parduotuvės PHP duomenys. Ar įdiegtas atgalinis perkėlimas (backport), iš to nematyti; tai patvirtina jūsų talpintojas arba operatorius.
Kuriame OXID faile yra prieigos duomenys?
Faile config.inc.php kataloge source. Jame yra duomenų bazės prieiga. Kilus įtarimui reikėtų pakeisti duomenų bazės slaptažodį ir patikrinti failą dėl įterpto kodo.
Ar turime tikrinti savo ERP sąsają?
Taip. Jei užpuolikas vykdė kodą parduotuvės serveryje, jis galėjo perskaityti prieigos duomenis prie ERP, PIM ar mokėjimo paslaugų. Kilus įtarimui šias prieigas reikėtų atnaujinti.