Lühidalt: Praegune Magento turvaauk kannab nime PHP2Shell ja ei asu Magentos, vaid PHP-s. Magento paik seda ei sulge. Pärast PHP uuendust koos taaskäivitusega peaksite kontrollima faili app/etc/env.php, andmebaasi skimmerite suhtes ja admin-kontode loendit.
Mida PHP2Shell Magento poodidele tähendab
Magento Open Source ja Adobe Commerce on suured PHP rakendused, mis töötavad enamasti PHP-FPM-iga. Turvaaugud CVE-2026-109618 ja CVE-2026-109619 võimaldavad PHP meeskonna andmetel kahjuliku koodi käivitamist ilma sisselogimiseta. Kas pood ise on ajakohane, sealjuures rolli ei mängi.
Magento poed on aastaid olnud krediitkaardiskimmingu eelistatud sihtmärk, kus kassa sisestusi loetakse kaasa. PHP2Shell avab selleks veel ühe tee. Palo Alto Networks luges kokku enam kui 22,6 miljonit avatud, potentsiaalselt haavatavat PHP instantsi; millised poed nende hulka kuuluvad, ei ole teada.
Magento turvaauk: PHP seisu õige kindlaksmääramine
Magento ei näita PHP versiooni adminis esiplaanil. Kontrollige seisu seetõttu domeeni majutuspaneelis või laske see oma majutajal kinnitada. php -v käsureal näitab ainult CLI-PHP-d, millega töötavad bin/magento ja cron-tööd. Veebi-PHP FPM-i kaudu võib olla teine versioon ja mõlemad peavad olema paigatud.
Upstream'i parandatud versioonid on 8.5.12, 8.4.27, 8.3.36 ja 8.2.35, distributsioonide tagasiportimised (backport) võivad kanda vanemaid numbreid. Milliseid PHP versioone teie Magento versioon toetab, kontrollige süsteeminõuete järgi Adobe dokumentatsioonis (experienceleague.adobe.com). Adobe infrastruktuuril töötava Adobe Commerce'i puhul küsige seisu Adobe'ilt või oma haldajalt. Samm-sammulise juhendi leiate lehelt PHP versiooni ja paigataseme õige kontroll.
Kus kahjulik kood Magentos asub
| Koht | Sisu | Kontrollpunkt |
|---|---|---|
app/etc/env.php |
Andmebaas, krüpteerimisvõti, admini rada | Muutmiskuupäev, väärtused kahtluse korral uuendada |
pub/ |
Dokumendijuur, pub/media, pub/static |
PHP failid meedia- ja static-kaustades |
app/code/ |
Oma moodulid | Tundmatud moodulid, muudetud failid |
vendor/ |
Composeri paketid, ka laiendused | Kõrvalekalded lockfile'ist |
generated/, var/ |
Genereeritud kood, vahemälu, logid | Logid varundada, kood uuesti genereerida |
| Andmebaas | Konfiguratsioon, CMS-plokid, admin-kasutajad | Võõrad skriptid, uued adminid |
Skimmerid asuvad Magentos sageli andmebaasis, näiteks lisaskriptide sätetes lehepäises või lehejaluses ning CMS-plokkides. Puhas failiskaneering jätab need märkamata. Ohutud lugemispäringud aitavad esimesel pilgul (tabelieesliide olenevalt paigaldusest):
bin/magento info:adminuri
bin/magento module:status
SELECT username, email, created FROM admin_user;
SELECT path, value FROM core_config_data WHERE path LIKE 'design/%' AND value LIKE '%<script%';
Puhastatud kassa ei tähenda, et andmeid ei lekkinud. Varundage logid alates 20.10.2026 ja andmebaasi tõmmised enne skriptide eemaldamist. Ainult nii saab hiljem kindlaks teha, millest alates ja millised tellimused olid mõjutatud.
Admin-piirkond ja laiendused
Admini rada on Magentos vabalt valitav ja asub failis env.php. Raskesti äraarvatav rada on mõistlik, kuid ei asenda kaheastmelist autentimist ega piiramist teadaolevatele võrkudele. Kontrollige admin-kasutajaid ja nende rolle regulaarselt, samuti integratsioone ja API märke (token).
Kolmandate osapoolte laiendusi on Magentos palju: maksevõimalused, ERP-liidesed, otsingu- ja turundusmoodulid. Igaüks toob kaasa koodi, mida tuleb PHP-upgrade'idel kontrollida. Kasutage regulaarselt composer audit ja eemaldage väljalülitatud moodulid täielikult.
Mõelge ka taustaprotsessidele. Magento töötab cron-tööde ja sageli järjekorra tarbijatega (consumer), mis töötavad omaette PHP protsessidena käsurealt. Pärast PHP uuendust tuleb need taaskäivitada samamoodi nagu PHP-FPM. Pärast PHP peaversiooni vahetust peaksite lisaks laskma genereeritud koodi kaustas generated/ ja staatilised failid uuesti ehitada ning poe testkeskkonnas läbi klõpsama, enne kui tööd tööl jätkatakse. Kuidas taaskäivitus korralikult õnnestub, kirjeldab leht PHP-FPM-i ja kõigi töötajate taaskäivitamine.
Mida Magento uuendus suudab ja mida mitte
Magento väljalase või Adobe'i turvapaik sulgeb vead poe koodis. See ei paiga PHP-d, ei taaskäivita FPM-protsesse, ei eemalda skripte andmebaasist ja ei kustuta võõraid admin-kontosid. Kui koodi on juba käivitatud, on vaja uurimist. Kuidas tagauksi tuvastada, selgitab leht Veebikestade tuvastamine ja eemaldamine.
Kaardimaksega kauplejatele kehtib lisaks: kontrollige oma makseteenuse pakkuja turvaintsidentide nõudeid ja kooskõlastage enne võtmete uuendamist temaga. Kas andmekaitseasutusele on vaja teatada, selgitage välja oma andmekaitsespetsialisti või advokaadiga.
Kuidas PHP SOS konkreetselt aitab?
- Selgitame välja teie Magento serveri veebi- ja CLI-PHP ning laseme paigatud ja taaskäivituse kinnitada.
- Varundame logid, failid ja andmebaasi jälgitavalt, vajaduse korral meie IT-kohtuekspertiisi kaudu.
- Kontrollime
env.php,pub/, mooduleid, konfiguratsioonitabeleid, CMS-plokke ja admin-kontosid. - Puhastame, uuendame võtmed ja ligipääsud ning dokumenteerime võimaliku mõjutatuse ajavahemiku andmekaitse ja makseteenuse pakkuja jaoks.
Korduma kippuvad küsimused
Kas Magento turvapaik sulgeb ka PHP2Shelli?
Ei. Magento paigad parandavad vigu poe koodis. PHP2Shell asub serveri PHP interpretaatoris ja see suletakse ainult PHP uuendusega või kinnitatud tagasiportimisega (backport) koos kõigi protsesside taaskäivitusega.
Kuhu ründajad Magentos krediitkaardiskimmerid peidavad?
Sageli mitte failidesse, vaid andmebaasi, näiteks lisaskriptide sätetesse lehepäises või CMS-plokkidesse. Seetõttu kuulub kahtluse korral alati juurde ka andmebaasi kontroll.
Kes paigab Adobe Commerce'i pilves PHP?
See sõltub teie lepingust ja keskkonnast. Küsige Adobe'ilt või oma haldajalt kirjalikult PHP seisu ja taaskäivituse kohta. Oma laiendused ja andmebaasi sisu jäävad teie vastutusele.
Miks on app/etc/env.php nii oluline?
Fail sisaldab andmebaasi ligipääsu, krüpteerimisvõtit ja admin-piirkonna rada. Kes selle lugeda sai, saab krüpteeritud väärtusi dekrüpteerida ja admini leida. Kahtluse korral tuleks need väärtused uuendada.