Fil-qosor: Il-vulnerabbiltà ta' Shopware 6 li ħafna negozjanti qed ifittxu bħalissa fil-fatt hija vulnerabbiltà f'PHP. L-aġġornamenti ta' Shopware ma jagħlquhiex. Għandkom bżonn PHP ippatchjat bir-restart tal-proċessi kollha, u wara għandkom tivverifikaw .env, custom/plugins, id-direttorju public u l-integrazzjonijiet tal-API.
X'jfisser PHP2Shell għal Shopware 6
Shopware 6 huwa bbażat fuq il-framework PHP Symfony u ġeneralment jaħdem b'PHP-FPM wara Nginx jew Apache. Il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 jolqtu eżattament din il-modalità tat-tħaddim. Skont it-tim ta' PHP, jippermettu l-eżekuzzjoni ta' kodiċi malizzjuż mill-bogħod, mingħajr login fil-ħanut.
Attakkant b'eżekuzzjoni ta' kodiċi fuq is-server jilħaq kull ma jaċċessa l-ħanut innifsu: data tal-klijenti, ordnijiet, dokumenti tal-fatturi, aċċessi għall-ġestjoni tal-merkanzija u għall-fornituri tal-pagamenti. L-isfond tekniku nispjegawh taħt X'inhu PHP2Shell?.
Vulnerabbiltà ta' Shopware 6: liema PHP jaħdem tassew?
Shopware 6 jiġi mmaniġġjat ħafna mil-linja tal-kmand, pereżempju b'bin/console. Hawnhekk żball huwa faċli: php -v juri l-verżjoni tal-PHP tal-linja tal-kmand, mhux neċessarjament dik ta' PHP-FPM li jittratta t-talbiet tal-ħanut. Fuq ħafna servers hemm diversi verżjonijiet ta' PHP installati b'mod parallel.
Affidabbli huma l-indikazzjoni fil-panel tal-hosting għad-dominju konkret u l-konferma tal-hoster dwar l-istat tal-pakkett. Il-verżjonijiet upstream rranġati huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35; il-backports jistgħu jġorru numri eqdem. Liema verżjonijiet ta' PHP tappoġġja l-verżjoni ta' Shopware tagħkom tivverifikawh, skont ir-rekwiżiti tas-sistema, fid-dokumentazzjoni fuq shopware.com. Kif tarawh intom stess jinsab taħt Kif tivverifikaw sewwa l-verżjoni u l-istat tal-patch ta' PHP.
F'Shopware 6 punt wieħed spiss jinsa: ħafna ħwienet jipproċessaw il-kju tal-messaġġi u l-kompiti skedati permezz ta' proċessi fl-isfond li jaħdmu b'mod permanenti, pereżempju bin/console messenger:consume taħt maniġer tal-proċessi. Dawn il-proċessi jgħabbu PHP darba biss meta jibdew. Wara l-aġġornament għalhekk mhux biss PHP-FPM, imma wkoll dawn il-workers iridu jerġgħu jinbdew. Inkella parti mill-ħanut tibqa' taħdem bil-PHP il-qadim u vulnerabbli fil-memorja.
Direttorji u fajls li għandkom tkunu tafu
| Post | Kontenut | Għaliex huwa rilevanti |
|---|---|---|
.env, .env.local |
Aċċess tad-database, APP_SECRET, ċwievet oħra |
Iġeddu f'każ ta' suspett |
public/ |
Għerq tad-dokumenti b'index.php, media, fajls tat-theme |
Fajls PHP addizzjonali huma suspettużi |
public/theme/ |
Fajls JavaScript u CSS ikkompilati tal-Storefront | Post għal skimmers introdotti |
custom/plugins/, custom/apps/ |
Estensjonijiet | Kodiċi tal-plugin mibdul |
files/ |
Fajls privati bħal fatturi u noti ta' kunsinna | Data personali |
var/log/ |
Protokolli tal-ħanut | Issalvaw it-traċċi |
L-ewwel verifiki mingħajr periklu:
# Uri l-plugins installati bil-verżjoni u l-istat
bin/console plugin:list
# Elenka l-fajls PHP fid-direttorju pubbliku
find public -type f -name "*.php"
# Uri l-vulnerabbiltajiet magħrufa fid-dipendenzi ta' Composer
composer audit
Fil-folder public/ għandu jkun hemm ftit fajls PHP magħrufa biss. Dak kollu mhux magħruf jixraq li jiġi salvat u eżaminat, mhux imħassar mill-ewwel.
Iċċekkjaw fl-Administration taħt Settings > System it-taqsimiet "Users & permissions" u "Integrations". Utenti mhux magħrufa jew integrazzjonijiet tal-API barranin huma backdoor li kull skan tal-fajls jaqbeż.
Aċċess tal-amministratur, plugins u apps bħala riskju
L-Administration tinsab b'mod standard taħt /admin. Ipproteġuha b'kontijiet personali, login b'saħħtu u, jekk possibbli, b'restrizzjoni tal-aċċess għal netwerks magħrufa. L-integrazzjonijiet għall-ġestjoni tal-merkanzija, il-marketplaces jew il-fornituri tal-ispedizzjoni għandu jkollhom biss id-drittijiet li verament jeħtieġu.
Il-plugins mill-Store u l-iżvilupp proprju jġibu kodiċi PHP proprju, l-apps barra minn hekk webhooks lejn servers esterni. Iktar ma jkun hemm estensjonijiet, iktar tkun kbira s-superfiċje ta' attakk u iktar kull upgrade ta' PHP jkun jeħtieġ ħidma. Neħħu għal kollox il-plugins li ma jintużawx aktar.
X'jista' jagħmel aġġornament ta' Shopware u x'ma jistax
Aġġornament ta' Shopware jew ta' plugin jagħlaq żbalji magħrufa f'dan il-kodiċi. Ma jistax:
- jipatchja PHP fuq is-server,
- iwaqqaf mill-ġdid proċessi qodma ta' PHP-FPM,
- ineħħi b'mod sikur fajls barranin f'
public/jew fajls tat-theme manipulati, - iħassar utenti jew integrazzjonijiet barranin,
- jippruva li qabel il-patch ma ġara xejn.
Wara aġġornament ta' PHP għal verżjoni ewlenija ġdida għandkom terġgħu toħolqu l-cache u t-theme u tivverifikaw il-ħanut f'ambjent tal-ittestjar. Il-bidla ta' PHP bi prova nieħdu ħsiebha, jekk tixtiequ, bis-servizz tal-patch ta' PHP tagħna.
Shopware 6 għand negozjanti akbar spiss jaħdem fuq diversi servers tal-applikazzjoni. Allura kull server irid ikun ippatchjat u mibdi mill-ġdid, anke dawk li jitrattaw biss kompiti fl-isfond. Jekk fornitur jopera l-ħanut bħala pjattaforma mmaniġġjata, għandu jikkonferma l-istat għan-nodi kollha.
Kif tgħin PHP SOS b'mod konkret?
- Nistabbilixxu liema PHP il-ħanut tagħkom juża tassew permezz ta' FPM u niċċaraw il-patch u r-restart mal-hoster jew mal-aġenzija.
- Insalvaw il-logs mill-20/10/2026, id-database u l-fajls.
- Niċċekkjaw
public/, il-fajls tat-theme ikkompilati, il-plugins, l-utenti u l-integrazzjonijiet għal anomaliji. - F'każ ta' sejba, innaddfu l-ħanut flimkien mal-aġenzija tagħkom u nġeddu ċ-ċwievet u l-aċċessi b'mod ordnat.
Mistoqsijiet frekwenti
Shopware 6 innifsu huwa affettwat minn PHP2Shell?
Il-vulnerabbiltajiet jinsabu f'PHP, mhux fil-kodiċi ta' Shopware. Kull ħanut ta' Shopware 6 fuq PHP mhux ippatchjat huwa għalhekk potenzjalment vulnerabbli, indipendentement mill-verżjoni ta' Shopware. Aġġornament ta' Shopware ma jibdel xejn f'dan.
Liema fajl ta' Shopware 6 huwa partikolarment kritiku wara attakk?
Il-fajl .env jew .env.local bl-aċċess tad-database u APP_SECRET. Min seta' jaqrah jaf l-aċċessi tagħkom. F'każ ta' suspett dawn il-valuri għandhom jiġu mġedda, b'koordinazzjoni mal-aġenzija tagħkom.
X'inhuma l-integrazzjonijiet f'Shopware 6 u għaliex għandhom jiġu vverifikati?
L-integrazzjonijiet huma aċċessi tal-API għal sistemi esterni bħall-ġestjoni tal-merkanzija jew il-marketplaces. Integrazzjoni barranija b'drittijiet ta' amministratur tippermetti aċċess sħiħ għall-ħanut permezz tal-API, mingħajr ma jkun hemm fajl fuq is-server.