# Vulnerabbiltà ta' PHP2Shell f'Shopware 6: kif tissigurizzaw il-ħanut tagħkom

> Shopware 6 u PHP2Shell: għaliex aġġornament tal-ħanut mhuwiex biżżejjed, fejn jinsab il-kodiċi malizzjuż u kif tivverifikaw l-integrazzjonijiet.

Sors: https://phpsos.de/mt/plattformen/shopware-6/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Il-vulnerabbiltà ta' Shopware 6 li ħafna negozjanti qed ifittxu bħalissa fil-fatt hija vulnerabbiltà f'PHP. L-aġġornamenti ta' Shopware ma jagħlquhiex. Għandkom bżonn PHP ippatchjat bir-restart tal-proċessi kollha, u wara għandkom tivverifikaw `.env`, `custom/plugins`, id-direttorju `public` u l-integrazzjonijiet tal-API.

## X'jfisser PHP2Shell għal Shopware 6

Shopware 6 huwa bbażat fuq il-framework PHP Symfony u ġeneralment jaħdem b'PHP-FPM wara Nginx jew Apache. Il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 jolqtu eżattament din il-modalità tat-tħaddim. Skont it-tim ta' PHP, jippermettu l-eżekuzzjoni ta' kodiċi malizzjuż mill-bogħod, mingħajr login fil-ħanut.

Attakkant b'eżekuzzjoni ta' kodiċi fuq is-server jilħaq kull ma jaċċessa l-ħanut innifsu: data tal-klijenti, ordnijiet, dokumenti tal-fatturi, aċċessi għall-ġestjoni tal-merkanzija u għall-fornituri tal-pagamenti. L-isfond tekniku nispjegawh taħt [X'inhu PHP2Shell?](https://phpsos.de/mt/php2shell/was-ist-php2shell/).

## Vulnerabbiltà ta' Shopware 6: liema PHP jaħdem tassew?

Shopware 6 jiġi mmaniġġjat ħafna mil-linja tal-kmand, pereżempju b'`bin/console`. Hawnhekk żball huwa faċli: `php -v` juri l-verżjoni tal-PHP tal-linja tal-kmand, mhux neċessarjament dik ta' PHP-FPM li jittratta t-talbiet tal-ħanut. Fuq ħafna servers hemm diversi verżjonijiet ta' PHP installati b'mod parallel.

Affidabbli huma l-indikazzjoni fil-panel tal-hosting għad-dominju konkret u l-konferma tal-hoster dwar l-istat tal-pakkett. Il-verżjonijiet upstream rranġati huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35; il-backports jistgħu jġorru numri eqdem. Liema verżjonijiet ta' PHP tappoġġja l-verżjoni ta' Shopware tagħkom tivverifikawh, skont ir-rekwiżiti tas-sistema, fid-dokumentazzjoni fuq shopware.com. Kif tarawh intom stess jinsab taħt [Kif tivverifikaw sewwa l-verżjoni u l-istat tal-patch ta' PHP](https://phpsos.de/mt/php2shell/php-version-pruefen/).

F'Shopware 6 punt wieħed spiss jinsa: ħafna ħwienet jipproċessaw il-kju tal-messaġġi u l-kompiti skedati permezz ta' proċessi fl-isfond li jaħdmu b'mod permanenti, pereżempju `bin/console messenger:consume` taħt maniġer tal-proċessi. Dawn il-proċessi jgħabbu PHP darba biss meta jibdew. Wara l-aġġornament għalhekk mhux biss PHP-FPM, imma wkoll dawn il-workers iridu jerġgħu jinbdew. Inkella parti mill-ħanut tibqa' taħdem bil-PHP il-qadim u vulnerabbli fil-memorja.

## Direttorji u fajls li għandkom tkunu tafu

| Post | Kontenut | Għaliex huwa rilevanti |
|---|---|---|
| `.env`, `.env.local` | Aċċess tad-database, `APP_SECRET`, ċwievet oħra | Iġeddu f'każ ta' suspett |
| `public/` | Għerq tad-dokumenti b'`index.php`, media, fajls tat-theme | Fajls PHP addizzjonali huma suspettużi |
| `public/theme/` | Fajls JavaScript u CSS ikkompilati tal-Storefront | Post għal skimmers introdotti |
| `custom/plugins/`, `custom/apps/` | Estensjonijiet | Kodiċi tal-plugin mibdul |
| `files/` | Fajls privati bħal fatturi u noti ta' kunsinna | Data personali |
| `var/log/` | Protokolli tal-ħanut | Issalvaw it-traċċi |

L-ewwel verifiki mingħajr periklu:

```bash
# Uri l-plugins installati bil-verżjoni u l-istat
bin/console plugin:list
# Elenka l-fajls PHP fid-direttorju pubbliku
find public -type f -name "*.php"
# Uri l-vulnerabbiltajiet magħrufa fid-dipendenzi ta' Composer
composer audit
```

Fil-folder `public/` għandu jkun hemm ftit fajls PHP magħrufa biss. Dak kollu mhux magħruf jixraq li jiġi salvat u eżaminat, mhux imħassar mill-ewwel.

> **Suġġeriment:**
> Iċċekkjaw fl-Administration taħt Settings > System it-taqsimiet "Users & permissions" u "Integrations". Utenti mhux magħrufa jew integrazzjonijiet tal-API barranin huma backdoor li kull skan tal-fajls jaqbeż.

## Aċċess tal-amministratur, plugins u apps bħala riskju

L-Administration tinsab b'mod standard taħt `/admin`. Ipproteġuha b'kontijiet personali, login b'saħħtu u, jekk possibbli, b'restrizzjoni tal-aċċess għal netwerks magħrufa. L-integrazzjonijiet għall-ġestjoni tal-merkanzija, il-marketplaces jew il-fornituri tal-ispedizzjoni għandu jkollhom biss id-drittijiet li verament jeħtieġu.

Il-plugins mill-Store u l-iżvilupp proprju jġibu kodiċi PHP proprju, l-apps barra minn hekk webhooks lejn servers esterni. Iktar ma jkun hemm estensjonijiet, iktar tkun kbira s-superfiċje ta' attakk u iktar kull upgrade ta' PHP jkun jeħtieġ ħidma. Neħħu għal kollox il-plugins li ma jintużawx aktar.

## X'jista' jagħmel aġġornament ta' Shopware u x'ma jistax

Aġġornament ta' Shopware jew ta' plugin jagħlaq żbalji magħrufa f'dan il-kodiċi. Ma jistax:

- jipatchja PHP fuq is-server,
- iwaqqaf mill-ġdid proċessi qodma ta' PHP-FPM,
- ineħħi b'mod sikur fajls barranin f'`public/` jew fajls tat-theme manipulati,
- iħassar utenti jew integrazzjonijiet barranin,
- jippruva li qabel il-patch ma ġara xejn.

Wara aġġornament ta' PHP għal verżjoni ewlenija ġdida għandkom terġgħu toħolqu l-cache u t-theme u tivverifikaw il-ħanut f'ambjent tal-ittestjar. Il-bidla ta' PHP bi prova nieħdu ħsiebha, jekk tixtiequ, bis-[servizz tal-patch ta' PHP](https://phpsos.de/mt/leistungen/php-patch-service/) tagħna.

Shopware 6 għand negozjanti akbar spiss jaħdem fuq diversi servers tal-applikazzjoni. Allura kull server irid ikun ippatchjat u mibdi mill-ġdid, anke dawk li jitrattaw biss kompiti fl-isfond. Jekk fornitur jopera l-ħanut bħala pjattaforma mmaniġġjata, għandu jikkonferma l-istat għan-nodi kollha.

## Kif tgħin PHP SOS b'mod konkret?

- Nistabbilixxu liema PHP il-ħanut tagħkom juża tassew permezz ta' FPM u niċċaraw il-patch u r-restart mal-hoster jew mal-aġenzija.
- Insalvaw il-logs mill-20/10/2026, id-database u l-fajls.
- Niċċekkjaw `public/`, il-fajls tat-theme ikkompilati, il-plugins, l-utenti u l-integrazzjonijiet għal anomaliji.
- F'każ ta' sejba, innaddfu l-ħanut flimkien mal-aġenzija tagħkom u nġeddu ċ-ċwievet u l-aċċessi b'mod ordnat.


## Mistoqsijiet frekwenti

**Shopware 6 innifsu huwa affettwat minn PHP2Shell?**  
Il-vulnerabbiltajiet jinsabu f'PHP, mhux fil-kodiċi ta' Shopware. Kull ħanut ta' Shopware 6 fuq PHP mhux ippatchjat huwa għalhekk potenzjalment vulnerabbli, indipendentement mill-verżjoni ta' Shopware. Aġġornament ta' Shopware ma jibdel xejn f'dan.

**Liema fajl ta' Shopware 6 huwa partikolarment kritiku wara attakk?**  
Il-fajl .env jew .env.local bl-aċċess tad-database u APP_SECRET. Min seta' jaqrah jaf l-aċċessi tagħkom. F'każ ta' suspett dawn il-valuri għandhom jiġu mġedda, b'koordinazzjoni mal-aġenzija tagħkom.

**X'inhuma l-integrazzjonijiet f'Shopware 6 u għaliex għandhom jiġu vverifikati?**  
L-integrazzjonijiet huma aċċessi tal-API għal sistemi esterni bħall-ġestjoni tal-merkanzija jew il-marketplaces. Integrazzjoni barranija b'drittijiet ta' amministratur tippermetti aċċess sħiħ għall-ħanut permezz tal-API, mingħajr ma jkun hemm fajl fuq is-server.

## Sorsi

- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [Shopware](https://www.shopware.com/)
- [Verżjonijiet appoġġjati ta' PHP](https://www.php.net/supported-versions.php)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)