Stručne: Pri bezpečnosti OXID eShop ide po PHP2Shell najprv o server: zraniteľnosť je v PHP, nie v OXID. Nechajte si potvrdiť stav PHP a reštartovať všetky procesy. Potom skontrolujte config.inc.php, moduly, súbory témy, admin účty a prístupy k ERP a platobným službám.
Prečo by sa mali obchody OXID pozrieť dôkladnejšie
OXID eShop je v nemecky hovoriacom priestore rozšírený predovšetkým v B2B obchode, u výrobcov s priamym predajom a vo veľkoobchode. Takéto obchody málokedy stoja osamote: vymieňajú si objednávky, ceny, stavy zásob a údaje o zákazníkoch s ERP, PIM a platobnými službami. Útočník na serveri obchodu preto často vidí viac než len obchod.
Zraniteľnosti PHP CVE-2026-109618 a CVE-2026-109619 podľa tímu PHP umožňujú spustenie škodlivého kódu na diaľku bez prihlásenia. Či je samotný OXID aktuálny, na tom nezáleží. Typické údaje v obchodoch OXID sú:
- firemní zákazníci s kontaktnými osobami, adresami, číslami zákazníkov a individuálnymi cenami
- história objednávok a dopyty po ponukách
- prístupové údaje k ERP, platobným a prepravným službám v konfigurácii a nastaveniach modulov
- účty zamestnancov v administrátorskej oblasti
Bezpečnosť OXID eShop: správne skontrolovať stav PHP
V administrátorskej oblasti zobrazuje Service > Systeminfo údaje o PHP bežiaceho obchodu. Je to webová verzia, ktorou sa obsluhujú zákazníci. Konzola OXID, importy a cron úlohy však často bežia s PHP z príkazového riadku, ktoré môže byť iná verzia. Obe musia byť záplatované.
Opravené upstream verzie sú 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Distribúcie a poskytovatelia hostingu dodávajú opravy čiastočne ako backport, číslo potom zostane rovnaké; rozhodujúci je potvrdený stav balíkov. Ktoré verzie PHP vaša verzia OXID podporuje, skontrolujte podľa systémových požiadaviek v dokumentácii výrobcu na oxid-esales.com.
Staršie obchody OXID generácie 4 alebo skoré verzie generácie 6 často stále bežia na starých verziách PHP bez oficiálnych aktualizácií. Potom je do upgradu potrebná prechodná ochrana a pevný časový plán.
Adresáre a súbory v OXID
Od OXID 6 sa obchod inštaluje cez Composer; koreňom dokumentov je spravidla adresár source/.
| Miesto | Obsah | Bod kontroly |
|---|---|---|
source/config.inc.php |
Prístup k databáze, základné nastavenia | Vložený kód, pri podozrení zmeniť heslo |
source/modules/ (do OXID 6), od OXID 7 vendor/ |
Moduly, čiastočne z balíkov Composeru | Neznáme moduly, zmenené súbory |
var/configuration/ |
Konfigurácia modulov a obchodu ako súbory | Neočakávané zmeny |
source/out/ |
Témy, obrázky, JavaScript | Cudzie skripty, súbory PHP v priečinkoch s obrázkami |
source/tmp/ |
Skompilované šablóny a cache | Po vyčistení vyprázdniť |
source/log/ |
Protokol obchodu | Pred zmenami zálohovať |
Skompilované šablóny v adresári tmp sa často prehliadajú. Pozostávajú z kódu PHP a po vyčistení sa vytvárajú znovu; adresár by sa preto mal po každom náleze vyprázdniť.
Neškodné prvé kontroly:
# Súbory PHP v priečinkoch s obrázkami a médiami
find source/out -type f -name "*.php"
# Súbory modulov zmenené od 17. 10. 2026 (OXID 6; od OXID 7 sú moduly vo vendor/)
find source/modules -type f -newermt "2026-10-17"
# Známe zraniteľnosti v závislostiach
composer audit
Vyčistený server obchodu nespraví uniknuté prístupy rozhraní opäť tajnými. Pri podozrení obnovte prístupové údaje k ERP, platobným a prepravným službám v dohode s ich prevádzkovateľmi.
Administrátorská oblasť a moduly
Administrátorská oblasť je štandardne pod /admin/. Skontrolujte správu používateľov na účty s právami admina, ktoré nikto nevie priradiť, a na prístupy bývalých dodávateľov. Prístup do administrácie, ak je to možné, obmedzte na firemnú sieť alebo VPN; v B2B prostredí je to väčšinou dobre realizovateľné.
Moduly pre platobné metódy, napojenie na ERP, funkcie B2B, ako sú cenové hladiny alebo schvaľovacie procesy, sú v obchodoch OXID často individuálne upravené. Každý modul je vlastný kód PHP a upravené moduly často brzdia aktualizácie PHP. Zaznamenajte si, ktoré moduly sú aktívne, kto ich udržiava a či existuje verzia pre cieľovú verziu PHP.
Čo aktualizácia OXID dokáže a čo nie
Aktualizácia OXID alebo modulu uzatvára známe chyby v tomto kóde a môže umožniť novšie verzie PHP. PHP nezáplatuje a nereštartuje ani PHP-FPM, ani procesy na pozadí. Cudzie súbory v source/out, zmanipulované moduly, skompilované šablóny a nové admin účty zostávajú. Či existujú známky útoku, skontrolujte pomocou stránky Som už kompromitovaný?. K situácii v stredných firmách sa hodí IT bezpečnosť pre stredné podniky a priemysel.
Mnohé obchody OXID majú popri ostrom systéme aj staging prostredie na tom istom alebo na druhom serveri. Skontrolujte a záplatujte aj toto prostredie, pretože často obsahuje kópiu údajov zákazníkov a pre útočníkov je rovnako užitočné.
Ako konkrétne pomáha PHP SOS?
- Zisťujeme webové a CLI PHP vášho servera OXID a necháme si potvrdiť záplatu a reštart.
- Zálohujeme logy od 20. 10. 2026, súbory a databázu.
- Kontrolujeme
config.inc.php, moduly, témy, skompilované šablóny a admin účty. - Pri podozrení koordinujeme cez našu Incident Response čistenie a obnovu prístupov rozhraní s vašou agentúrou a dodávateľmi ERP.
Časté otázky
Týka sa PHP2Shell OXID eShop?
PHP2Shell nie je zraniteľnosť OXID, ale zraniteľnosť v PHP. Každý obchod OXID na nezáplatovanom serveri s PHP je preto potenciálne napadnuteľný. Aktualizácia OXID zraniteľnosť neuzatvorí.
Kde v OXID vidím verziu PHP?
V administrátorskej oblasti pod Service > Systeminfo, kde sa zobrazujú údaje o PHP bežiaceho obchodu. Či je nasadený backport, z toho nepoznáte; potvrdí to váš poskytovateľ hostingu alebo prevádzkovateľ.
Ktorý súbor OXID obsahuje prístupové údaje?
Súbor config.inc.php v adresári source. Obsahuje prístup k databáze. Pri podozrení by ste mali zmeniť heslo databázy a skontrolovať súbor na vložený kód.
Musíme skontrolovať naše rozhranie ERP?
Áno. Ak útočník vykonal kód na serveri obchodu, mohol prečítať prístupové údaje k ERP, PIM alebo platobným službám. Tieto prístupy by sa mali pri podozrení obnoviť.