Lühidalt: Kui teie e-pood on häkitud või töötab paigata PHP versioonil, on mängus kolm asja korraga: kliendiandmed, kassa ja teie käive. Viige pood kontrollitult hooldusrežiimi, kindlustage logid alates 20.10.2026 ja selgitage välja, kes teie serveris PHP-d uuendab ja uuesti käivitab.
Mis e-poes ohus on
Pood on rohkem kui veebisait. See haldab kliendikontosid koos paroolide räsidega, tarne- ja arveaadresse, tellimuste ajalugu, kinkekuponge ning sageli ka liideseid laohaldusele, tarneteenustele ja turuplatsidele. Kes saab serveris koodi käivitada, pääseb üldjuhul ligi andmebaasile ja sinna salvestatud API võtmetele.
Kaardiandmed ei asu enamasti teie juures, vaid makseteenuse pakkujal. See rahustab vaid osaliselt: ründaja võib tellimusprotsessi viia JavaScripti, mis loeb brauseris sisestusi kaasa. Sellised skimming'u skriptid jäävad poe igapäevatöös vaevu märkamatuks, sest tellimused lähevad edasi täiesti tavapäraselt.
Lisaks tulevad liidesed. Pood, mis annab tellimused edasi laohaldusele, tarneteenustele ja turuplatsidele, hoiab nende ligipääsuvõtmeid tavaliselt serveri seadistusfailides. Kes need kopeerib, saab kaupmehe nimel luua saatesilte, muuta laoseisu või kuritarvitada turuplatsi kontosid.
Tüüpilised poesüsteemid ja miks PHP2Shell neid puudutab
Euroopa keskmise suurusega ettevõtetes levinud poesüsteemid töötavad PHP peal: Shopware 6, WooCommerce, Magento, OXID, PrestaShop ja paljud vanemad Shopware 5 paigaldused. PHP2Shell (CVE-2026-109618 ja CVE-2026-109619, kumbki CVSS 9,2) asub PHP-s endas. Ründajatel ei ole vaja kliendikontot ega administraatori ligipääsu.
Kaupmeeste jaoks tähendab see: uusim poe uuendus ei kaitse. Otsustav on, kas serveris on PHP versioon 8.5.12, 8.4.27, 8.3.36 või 8.2.35 või on veebimajutaja paigaldanud backporti, ning kas pärast seda on kõik PHP protsessid uuesti käivitatud. Vanade poodide puhul PHP 8.1 või vanemal versioonil ei anna PHP projekt enam ametlikke uuendusi. Siis lisandub hädaolukorrale üleminek, mida te ei taha kõrghooajal ajapingega teha.
Häkitud e-pood: mida intsident konkreetselt tähendab
Kompromiteeritud pood põhjustab kahju mitmel tasandil, mis üksteist võimendavad:
- Käive: iga hooldusrežiimi tund maksab tellimusi. Pood, mis märkamatult edasi töötab, võib aga kujuneda märksa kallimaks.
- Kliendiandmed: lekkinud aadresse ja tellimusi kasutatakse sihitud andmepüügikirjade jaoks, mis tunduvad ehtsad, sest nimetavad päris tellimusi.
- Nähtavus: kui Google tuvastab kahjuliku koodi, ilmub otsingutulemustesse hoiatus. Kuidas sellest lahti saada, on kirjas juhendis Google'i hoiatuse eemaldamine.
- Partnerid: makseteenuse pakkujatel ja turuplatsidel on turvaintsidentide kohta oma nõuded. Kes teatab liiga hilja, riskib probleemidega arveldusel.
Kes vastutab: agentuur, veebimajutaja või kaupmees?
Paljudes poodides langeb PHP küsimus kõigi toolide vahele. Agentuur on poe ehitanud ja hooldab pluginaid, veebimajutaja haldab serverit ning kaupmees eeldab, et üks kahest hoolitseb. Hallatud majutuse puhul paikab tavaliselt veebimajutaja, oma vServeri puhul ei tee seda automaatselt keegi.
| Ülesanne | Tüüpiliselt vastutab | Kontrollige |
|---|---|---|
| PHP paketi uuendamine | veebimajutaja või serveri hooldaja | Kirjalik kinnitus koos paketi seisuga |
| PHP protsesside taaskäivitamine | serveri haldaja | Taaskäivituse ajahetk |
| Pood ja pluginad | agentuur | Hooldusleping ja ligipääsud |
| Makseteenuse pakkuja teavitamine | kaupmees | Lepingulised teavitamiskohustused |
PHP paik ei tõesta, et varem midagi ei juhtunud. Kui poodi rünnati ajavahemikus 17.10. kuni paika paigaldamiseni, võib sisse toodud kood edasi töötada. Laske seda kontrollida, enne kui annate andeks.
Esimesed tunnid: tegevuste järjekord kaupmehele
- Viige pood hooldusrežiimi või, kui see ei õnnestu, võtke ajutiselt võrgust maha.
- Kindlustage veebiserveri, PHP ja poe logid alates 20.10.2026, enne kui rotatsioon need kustutab.
- Laske veebimajutajal paketi seis ja taaskäivitus kirjalikult kinnitada.
- Uuendage administraatori paroolid, maksete, tarne ja turuplatside API võtmed ning andmebaasi ligipääsud, ja seda alles pärast puhastamist.
- Kontrollige kassat, makse-pluginaid ja kaasatud skripte muudatuste suhtes.
Kui on viiteid andmelekkele, kulgeb IKÜM-i 72-tunnine tähtaeg. Õigusliku hinnangu annate koos oma andmekaitsespetsialisti ja vajaduse korral advokaadiga.
Kuidas PHP SOS konkreetselt aitab?
- Kontrollime kaugtööna PHP tegelikku paketiseisu, töörežiimi (näiteks mod_php või PHP-FPM) ja seda, kas kõik tööprotsessid on uuesti käivitatud.
- Uurime poe faile, andmebaasi ja kassat veebishellide, skimming'u koodi ja uute administraatorikontode suhtes ning eemaldame leitud pahavara.
- Lepime kokku teie agentuuri ja veebimajutajaga, et poe hooldus ja serveri töö ei läheks üksteisest mööda.
- Dokumenteerime tulemused ja meetmed nii, et saate need esitada makseteenuse pakkujale, kindlustajale ja andmekaitsespetsialistile.
- Seejärel karastame serveri ja võtame soovi korral üle pideva jälgimise.
Korduma kippuvad küsimused
Kas pean oma poe PHP2Shelli tõttu võrgust maha võtma?
BSI (Saksamaa föderaalne infoturbeamet) soovitab veebiserverid ajutiselt võrgust maha võtta, kui PHP uuendust ei saa kohe teha. Poe puhul on sageli parem lahendus hooldusrežiim teatelehega kui veateade. Kui PHP on paigatud ja kõik protsessid uuesti käivitatud, võib poe taas avada.
Kas minu poe krediitkaardiandmed on ohus?
Enamikus poodides ei asu kaardiandmed oma serveris, vaid makseteenuse pakkujal. Ohtlik on aga manipuleeritud kood kassas, mis jäädvustab sisestused enne, kui need pakkujani jõuavad. Seetõttu kuulub kassa iga pärast rünnakut tehtava kontrolli juurde.
Kas piisab Shopware'i või WooCommerce'i uuendamisest?
Ei. PHP2Shell puudutab PHP-d ennast, mitte poesüsteemi. Poe uuendus turvaauku ei sulge ja PHP paik ei eemalda juba sisse toodud kahjulikku koodi.
Keda pean andmeleke korral teavitama?
Isikuandmete puhul tuleb kõne alla teavitamine andmekaitse järelevalveasutusele 72 tunni jooksul, olenevalt riskist ka andmesubjektide teavitamine. Lisaks tulevad lepingulised kohustused makseteenuse pakkuja ja kindlustaja ees. Hinnangu igal üksikjuhul annate koos andmekaitsespetsialisti ja advokaadiga.