Εν συντομία: Στην ασφάλεια του OXID eShop το θέμα μετά το PHP2Shell είναι πρώτα ο διακομιστής: η ευπάθεια βρίσκεται στην PHP, όχι στο OXID. Ζητήστε επιβεβαίωση της κατάστασης της PHP και επανεκκίνηση όλων των διεργασιών. Έπειτα ελέγξτε το config.inc.php, τα modules, τα αρχεία theme, τους λογαριασμούς admin και τις προσβάσεις σε ERP και υπηρεσίες πληρωμών.
Γιατί πρέπει τα shops OXID να εξεταστούν προσεκτικά
Το OXID eShop είναι διαδεδομένο στον γερμανόφωνο χώρο κυρίως στο εμπόριο B2B, σε κατασκευαστές με απευθείας πωλήσεις και στο χονδρεμπόριο. Τέτοια shops σπάνια είναι απομονωμένες λύσεις: ανταλλάσσουν παραγγελίες, τιμές, αποθέματα και δεδομένα πελατών με ERP, PIM και υπηρεσίες πληρωμών. Ένας επιτιθέμενος στον διακομιστή του shop βλέπει γι' αυτό συχνά περισσότερα από το shop.
Οι ευπάθειες PHP CVE-2026-109618 και CVE-2026-109619 επιτρέπουν, σύμφωνα με την ομάδα της PHP, εξ αποστάσεως εκτέλεση κακόβουλου κώδικα χωρίς σύνδεση. Το αν το ίδιο το OXID είναι ενημερωμένο δεν παίζει ρόλο. Τυπικά δεδομένα στα shops OXID είναι:
- Εταιρικοί πελάτες με υπευθύνους επικοινωνίας, διευθύνσεις, αριθμούς πελατών και ατομικές τιμές
- Ιστορικό παραγγελιών και αιτήματα προσφορών
- Στοιχεία πρόσβασης σε ERP, υπηρεσίες πληρωμών και αποστολών στη διαμόρφωση και στις ρυθμίσεις των modules
- Λογαριασμοί υπαλλήλων στην περιοχή admin
Ασφάλεια OXID eShop: σωστός έλεγχος της κατάστασης της PHP
Στην περιοχή admin, το Service > Systeminfo δείχνει τα στοιχεία PHP του shop που εκτελείται. Αυτή είναι η έκδοση του ιστού, με την οποία εξυπηρετούνται οι πελάτες. Η κονσόλα του OXID, οι εισαγωγές και τα cronjobs εκτελούνται αντίθετα συχνά με PHP γραμμής εντολών, που μπορεί να είναι άλλη έκδοση. Και οι δύο πρέπει να έχουν patch.
Οι διορθωμένες εκδόσεις upstream είναι οι 8.5.12, 8.4.27, 8.3.36 και 8.2.35. Οι διανομές και οι πάροχοι φιλοξενίας παραδίδουν εν μέρει τις διορθώσεις ως backport, οπότε ο αριθμός παραμένει ο ίδιος· καθοριστική είναι η επιβεβαιωμένη κατάσταση των πακέτων. Ποιες εκδόσεις PHP υποστηρίζει η έκδοση του OXID σας, ελέγξτε σύμφωνα με τις απαιτήσεις συστήματος στην τεκμηρίωση του κατασκευαστή στο oxid-esales.com.
Παλαιότερα shops OXID της γενιάς 4 ή πρώιμες εκδόσεις της γενιάς 6 εκτελούνται συχνά ακόμη σε παλιές εκδόσεις PHP χωρίς επίσημες ενημερώσεις. Τότε χρειάζονται μέχρι την αναβάθμιση προσωρινή προστασία και σταθερό χρονοδιάγραμμα.
Φάκελοι και αρχεία στο OXID
Από το OXID 6 το shop εγκαθίσταται μέσω Composer· η ρίζα εγγράφων είναι κατά κανόνα ο κατάλογος source/.
| Θέση | Περιεχόμενο | Σημείο ελέγχου |
|---|---|---|
source/config.inc.php |
Στοιχεία πρόσβασης στη βάση δεδομένων, βασικές ρυθμίσεις | Εισαγόμενος κώδικας, αλλαγή κωδικού μετά από υποψία |
source/modules/ (μέχρι το OXID 6), από το OXID 7 vendor/ |
Modules, εν μέρει από πακέτα Composer | Άγνωστα modules, αλλαγμένα αρχεία |
var/configuration/ |
Διαμόρφωση modules και shop ως αρχεία | Απρόσμενες αλλαγές |
source/out/ |
Themes, εικόνες, JavaScript | Ξένα σενάρια, αρχεία PHP σε φακέλους εικόνων |
source/tmp/ |
Μεταγλωττισμένα templates και cache | Άδειασμα μετά τον καθαρισμό |
source/log/ |
Αρχείο καταγραφής του shop | Διάσωση πριν από αλλαγές |
Τα μεταγλωττισμένα templates στον κατάλογο tmp παραβλέπονται συχνά. Αποτελούνται από κώδικα PHP και δημιουργούνται ξανά μετά από καθαρισμό· γι' αυτό ο φάκελος πρέπει να αδειάζει μετά από κάθε εύρημα.
Ακίνδυνοι πρώτοι έλεγχοι:
# Αρχεία PHP σε φακέλους εικόνων και πολυμέσων
find source/out -type f -name "*.php"
# Αρχεία modules που άλλαξαν από τις 17/10/2026 (OXID 6· από το OXID 7 τα modules βρίσκονται στο vendor/)
find source/modules -type f -newermt "2026-10-17"
# Γνωστές ευπάθειες στις εξαρτήσεις
composer audit
Ένας καθαρισμένος διακομιστής shop δεν κάνει ξανά μυστικές τις προσβάσεις διεπαφών που έχουν διαρρεύσει. Ανανεώστε μετά από υποψία τα στοιχεία πρόσβασης σε ERP, υπηρεσίες πληρωμών και αποστολών, σε συνεννόηση με τους φορείς λειτουργίας τους.
Περιοχή admin και modules
Η περιοχή admin βρίσκεται από προεπιλογή στο /admin/. Ελέγξτε τη διαχείριση χρηστών για λογαριασμούς με δικαιώματα admin που κανείς δεν μπορεί να αντιστοιχίσει και για προσβάσεις πρώην παρόχων υπηρεσιών. Περιορίστε την πρόσβαση admin, αν είναι δυνατό, στο εταιρικό δίκτυο ή σε VPN· στο περιβάλλον B2B αυτό είναι συνήθως εύκολα εφικτό.
Τα modules για τρόπους πληρωμής, σύνδεση ERP και λειτουργίες B2B, όπως τιμές κλιμάκωσης ή διαδικασίες έγκρισης, είναι στα shops OXID συχνά προσαρμοσμένα ειδικά. Κάθε module είναι δικός του κώδικας PHP και τα προσαρμοσμένα modules καθυστερούν συχνά τις αναβαθμίσεις PHP. Καταγράψτε ποια modules είναι ενεργά, ποιος τα συντηρεί και αν υπάρχει έκδοση για την επιδιωκόμενη έκδοση PHP.
Τι μπορεί μια ενημέρωση του OXID και τι όχι
Μια ενημέρωση του OXID ή ενός module κλείνει γνωστά σφάλματα σε αυτόν τον κώδικα και μπορεί να επιτρέψει νεότερες εκδόσεις PHP. Δεν κάνει patch στην PHP και δεν επανεκκινεί ούτε το PHP-FPM ούτε διεργασίες παρασκηνίου. Ξένα αρχεία στο source/out, παραποιημένα modules, μεταγλωττισμένα templates και νέοι λογαριασμοί admin παραμένουν. Το αν υπάρχουν ενδείξεις επίθεσης το ελέγχετε με το Έχω ήδη παραβιαστεί;. Στην κατάσταση των μεσαίων επιχειρήσεων ταιριάζει το Ασφάλεια IT για μεσαίες επιχειρήσεις και βιομηχανία.
Πολλά shops OXID έχουν δίπλα στο live σύστημα και ένα περιβάλλον staging στον ίδιο ή σε δεύτερο διακομιστή. Ελέγξτε και εφαρμόστε patch και σε αυτό, επειδή περιέχει συχνά αντίγραφο των δεδομένων πελατών και είναι εξίσου χρήσιμο για τους επιτιθέμενους.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Διαπιστώνουμε την PHP ιστού και CLI του διακομιστή OXID σας και ζητάμε επιβεβαίωση του patch και της επανεκκίνησης.
- Διασώζουμε logs από τις 20/10/2026, αρχεία και βάση δεδομένων.
- Ελέγχουμε το
config.inc.php, τα modules, τα themes, τα μεταγλωττισμένα templates και τους λογαριασμούς admin. - Σε περίπτωση υποψίας, συντονίζουμε μέσω της αντιμετώπισης περιστατικών (Incident Response) μας τον καθαρισμό και την ανανέωση των προσβάσεων διεπαφών με το πρακτορείο σας και τους παρόχους ERP.
Συχνές ερωτήσεις
Επηρεάζεται το OXID eShop από το PHP2Shell;
Το PHP2Shell δεν είναι ευπάθεια του OXID, αλλά ευπάθεια της PHP. Κάθε shop OXID σε διακομιστή με PHP χωρίς patch είναι επομένως δυνητικά ευάλωτο. Μια ενημέρωση του OXID δεν κλείνει την ευπάθεια.
Πού βλέπω στο OXID την έκδοση PHP;
Στην περιοχή admin, στο Service > Systeminfo, όπου εμφανίζονται τα στοιχεία PHP του shop που εκτελείται. Το αν έχει ενσωματωθεί backport δεν το καταλαβαίνετε από αυτά· αυτό το επιβεβαιώνει ο πάροχος φιλοξενίας ή ο φορέας λειτουργίας σας.
Ποιο αρχείο του OXID περιέχει τα στοιχεία πρόσβασης;
Το αρχείο config.inc.php στον κατάλογο source. Περιέχει τα στοιχεία πρόσβασης στη βάση δεδομένων. Μετά από υποψία πρέπει να αλλάξετε τον κωδικό της βάσης δεδομένων και να ελέγξετε το αρχείο για εισαγόμενο κώδικα.
Πρέπει να ελέγξουμε τη διεπαφή ERP μας;
Ναι. Αν ένας επιτιθέμενος έχει εκτελέσει κώδικα στον διακομιστή του shop, μπορεί να έχει διαβάσει στοιχεία πρόσβασης σε ERP, PIM ή υπηρεσίες πληρωμών. Αυτές οι προσβάσεις πρέπει να ανανεωθούν μετά από υποψία.