# Varnost OXID eShop po PHP2Shell: zaščita trgovine in vmesnikov

> Zaščitite OXID eShop po PHP2Shell: preverite stanje PHP v skrbniškem delu, nadzorujte config.inc.php in module ter zavarujte račune in vmesnike B2B.

Vir: https://phpsos.de/sl/plattformen/oxid-eshop/  
Stanje: 25.10.2026  
Ponudnik: PHP SOS, Nujna pomoč za PHP in varnost strežnikov. Takojšnja pomoč po WhatsAppu: https://wa.me/491736494914?text=Pozdravljeni%2C%20PHP%20SOS%2C%20potrebujemo%20pomo%C4%8D%20z%20na%C5%A1im%20stre%C5%BEnikom%20PHP.%20Podjetje%3A%20%E2%80%A6%20Spletna%20stran%3A%20%E2%80%A6

**Na kratko:** Pri varnosti OXID eShop gre po PHP2Shell najprej za strežnik: ranljivost je v PHP, ne v OXID. Dajte si potrditi stanje PHP in znova zagnati vse procese. Nato preglejte `config.inc.php`, module, datoteke teme, skrbniške račune in dostope do ERP in plačilnih storitev.

## Zakaj naj trgovine OXID pogledajo natančno

OXID eShop je v nemško govorečem prostoru razširjen predvsem v B2B-trgovini, pri proizvajalcih z neposredno prodajo in v veleprodaji. Takšne trgovine redko stojijo same zase: z ERP, PIM in plačilnimi storitvami izmenjujejo naročila, cene, zaloge in podatke kupcev. Napadalec na strežniku trgovine zato pogosto vidi več kot samo trgovino.

Ranljivosti PHP CVE-2026-109618 in CVE-2026-109619 po navedbah ekipe PHP omogočata izvajanje škodljive kode na daljavo brez prijave. Ali je OXID sam aktualen, pri tem ni pomembno. Tipični podatki v trgovinah OXID so:

- podjetja kot kupci s kontaktnimi osebami, naslovi, številkami kupcev in individualnimi cenami
- zgodovina naročil in povpraševanja za ponudbe
- dostopni podatki za ERP, plačilne in dostavne storitve v konfiguraciji in nastavitvah modulov
- računi sodelavcev v skrbniškem območju

## Varnost OXID eShop: pravilno preverite stanje PHP

V skrbniškem območju **Service > Systeminfo** prikaže podatke PHP tekoče trgovine. To je različica za splet, s katero se strežejo kupci. Konzola OXID, uvozi in cron opravila pa pogosto tečejo s PHP v ukazni vrstici, ki je lahko druga različica. Obe morata biti popravljeni.

Odpravljene različice izvorne kode so 8.5.12, 8.4.27, 8.3.36 in 8.2.35. Distribucije in ponudniki gostovanja popravke deloma dostavljajo kot backport, številka potem ostane enaka; odločilno je potrjeno stanje paketa. Katere različice PHP podpira vaša različica OXID, preverite v sistemskih zahtevah v dokumentaciji proizvajalca na oxid-esales.com.

Starejše trgovine OXID generacije 4 ali zgodnje različice generacije 6 pogosto še tečejo na starih različicah PHP brez uradnih posodobitev. Takrat do nadgradnje potrebujete vmesno zaščito in trden časovni načrt.

## Mape in datoteke v OXID

Od OXID 6 se trgovina namešča prek Composerja; korenska mapa dokumentov je praviloma mapa `source/`.

| Mesto | Vsebina | Točka preverjanja |
|---|---|---|
| `source/config.inc.php` | Dostop do podatkovne zbirke, osnovne nastavitve | Vstavljena koda, ob sumu spremeniti geslo |
| `source/modules/` (do OXID 6), od OXID 7 `vendor/` | Moduli, deloma iz paketov Composer | Neznani moduli, spremenjene datoteke |
| `var/configuration/` | Konfiguracija modulov in trgovine kot datoteke | Nepričakovane spremembe |
| `source/out/` | Teme, slike, JavaScript | Tuji skripti, datoteke PHP v mapah s slikami |
| `source/tmp/` | Prevedene predloge in predpomnilnik | Po čiščenju izprazniti |
| `source/log/` | Dnevnik trgovine | Zavarovati pred spremembami |

Prevedene predloge v mapi `tmp` se pogosto spregledajo. Sestavljene so iz kode PHP in se po čiščenju ustvarijo znova; zato je treba mapo po vsaki najdbi izprazniti.

Neškodljivi prvi pregledi:

```bash
# Datoteke PHP v mapah s slikami in mediji
find source/out -type f -name "*.php"
# Datoteke modulov, spremenjene od 17. 10. 2026 (OXID 6; od OXID 7 so moduli v vendor/)
find source/modules -type f -newermt "2026-10-17"
# Znane ranljivosti v odvisnostih
composer audit
```

> **Pomembno:**
> Očiščen strežnik trgovine ne naredi iztekle dostope do vmesnikov spet skrivnih. Ob sumu obnovite dostopne podatke za ERP, plačilne in dostavne storitve, v dogovoru z njihovimi upravljavci.

## Skrbniško območje in moduli

Skrbniško območje je privzeto pod `/admin/`. V upravljanju uporabnikov preverite račune s skrbniškimi pravicami, ki jih nihče ne zna pripisati, in dostope nekdanjih izvajalcev. Dostop do skrbniškega dela po možnosti omejite na omrežje podjetja ali VPN; v okolju B2B je to praviloma dobro izvedljivo.

Moduli za načine plačila, povezavo z ERP, funkcije B2B, kot so količinski popusti ali postopki odobritve, so v trgovinah OXID pogosto individualno prilagojeni. Vsak modul je lastna koda PHP, prilagojeni moduli pa pogosto zavirajo nadgradnje PHP. Zapišite, kateri moduli so aktivni, kdo jih vzdržuje in ali obstaja različica za ciljno različico PHP.

## Kaj posodobitev OXID zmore in česa ne

Posodobitev OXID ali modula zapre znane napake v tej kodi in lahko omogoči novejše različice PHP. PHP ne popravi in ne zažene znova ne PHP-FPM ne procesov v ozadju. Tuje datoteke v `source/out`, manipulirani moduli, prevedene predloge in novi skrbniški računi ostanejo. Ali obstajajo znaki napada, preverite s prispevkom [Ali smo že ogroženi?](https://phpsos.de/sl/php2shell/bin-ich-gehackt-anzeichen/). K položaju srednje velikih podjetij ustreza prispevek [IT-varnost za srednja podjetja in industrijo](https://phpsos.de/sl/branchen/mittelstand-industrie/).

Številne trgovine OXID imajo poleg živega sistema še testno okolje (staging) na istem ali drugem strežniku. Tudi tega preverite in popravite, saj pogosto vsebuje kopijo podatkov kupcev in je za napadalce enako uporabno.

## Kako PHP SOS pomaga konkretno?

- Ugotovimo PHP za splet in CLI na vašem strežniku OXID ter dosežemo potrditev popravka in ponovnega zagona.
- Dnevnike od 20. 10. 2026, datoteke in podatkovno zbirko zavarujemo.
- Preverimo `config.inc.php`, module, teme, prevedene predloge in skrbniške račune.
- Ob sumu prek naše službe [Incident Response](https://phpsos.de/sl/leistungen/incident-response/) koordiniramo čiščenje in obnovo dostopov do vmesnikov z vašo agencijo in izvajalci ERP.


## Pogosta vprašanja

**Ali je OXID eShop prizadet zaradi PHP2Shell?**  
PHP2Shell ni ranljivost OXID, ampak ranljivost v PHP. Vsaka trgovina OXID na nepopravljenem strežniku PHP je zato potencialno ranljiva. Posodobitev OXID ranljivosti ne zapre.

**Kje v OXID vidim različico PHP?**  
V skrbniškem območju pod Service > Systeminfo, kjer so prikazani podatki PHP tekoče trgovine. Ali je nameščen backport, iz tega ne razberete; to potrdi vaš ponudnik gostovanja ali upravljavec.

**Katera datoteka OXID vsebuje dostopne podatke?**  
Datoteka config.inc.php v mapi source. Vsebuje dostop do podatkovne zbirke. Ob sumu spremenite geslo podatkovne zbirke in preverite datoteko glede vstavljene kode.

**Ali moramo preveriti svoj vmesnik ERP?**  
Da. Če je napadalec izvedel kodo na strežniku trgovine, je lahko prebral dostopne podatke za ERP, PIM ali plačilne storitve. Te dostope je treba ob sumu obnoviti.

## Viri

- [php.net: varnostna obvestila](https://www.php.net/)
- [OXID eSales](https://www.oxid-esales.com/)
- [Podprte različice PHP](https://www.php.net/supported-versions.php)
- [BSI (nemški zvezni urad za informacijsko varnost)](https://www.bsi.bund.de/)