Lühidalt: PrestaShopi turvaauk, mis praegu pealkirjades on, kannab nime PHP2Shell ja asub PHP-s, mitte poes. PrestaShopi uuendus selle vastu ei aita. Pärast PHP paika ja taaskäivitust peaksite kontrollima kausta override, mooduleid, kassat ja töötajate kontosid.
Mida PHP2Shell PrestaShopi kauplejatele tähendab
PrestaShop on PHP rakendus, mis on levinud väikeste ja keskmiste kauplejate seas, sageli jagatud majutusel või lihtsatel vServeritel. Turvaaugud CVE-2026-109618 ja CVE-2026-109619 võimaldavad PHP meeskonna andmetel kahjuliku koodi kaugkäivitamist ilma sisselogimiseta, olenemata poe seisust.
Poe jaoks on mängus palju: kliendikontod, aadressid, tellimused, arved ja ligipääsud makse- ja saatmisteenustele. Ründajad sihivad poodide puhul sageli kassat, kus nad saavad maksesisestusi kaasa lugeda, enne kui need makseteenuse pakkujani jõuavad.
Lisandub ajategur. Meediaaruannete kohaselt täheldati esimest ründekatset 17.10.2026, paigad ilmusid 21.10.2026. Pood, mis sel ajal kättesaadav oli, võib olla mõjutatud, ka kui täna tundub kõik normaalne. Kinnitatud kompromiteerimise indikaatoreid (Indicators of Compromise) seni ei ole; vihjeid annavad ebatavaline käitumine, uued failid ja muudatused andmebaasis.
PrestaShopi turvaauk: PHP versiooni kontrollimine Back Office'is
Menüüs Täpsemad sätted > Teave näitab PrestaShop töötava paigalduse serveri ja PHP andmeid. Upstream'i parandatud versioonid on 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Majutajad toovad parandused osaliselt sisse tagasiportimisena (backport), kuvatud number jääb siis samaks. Laske seis kirjalikult kinnitada.
Milliseid PHP versioone teie PrestaShopi versioon toetab, kontrollige süsteeminõuete järgi tootja dokumentatsioonis lehel prestashop.com. Vanemad poed versioonidel 1.6 ja 1.7 töötavad sageli vanematel PHP seisudel; siis kehtib see, mis on kirjas lehel Kohesed meetmed ilma paigata, kuni upgrade on võimalik.
Tüüpilised peidukohad kahjulikule koodile PrestaShopis
| Koht | Sisu | Kontrollpunkt |
|---|---|---|
app/config/parameters.php (vanemad versioonid config/settings.inc.php) |
Andmebaasi ligipääs, küpsisevõti | Muutmiskuupäev, kahtluse korral uuendada |
override/ |
Ülekirjutatud klassid ja kontrollerid | Iga fail peab olema seletatav |
modules/ |
Turuplatsi ja kolmandate osapoolte moodulid | Tundmatud moodulid, muudetud failid |
themes/ |
Mallid ja JavaScript, ka kassa jaoks | Võõrad skriptid |
img/, upload/, download/ |
Pildid, klientide üleslaadimised, digitaalsed tooted | PHP faile pole |
var/cache/, var/logs/ |
Vahemälu ja logid | Logid varundada, vahemälu uuesti genereerida |
install/ |
Paigalduskaust | Ei tohi töös olla olemas |
Kaust override väärib erilist tähelepanu. Sinna paigutatud kood asendab PrestaShopi osi, näiteks tellimuse- või maksekäsitlust, ja uuenduste käigus seda automaatselt ei eemaldata.
Ohutud kontrollid käsurealt ja andmebaasis (tabelieesliide olenevalt paigaldusest):
find override -name "*.php" -newermt "2026-10-17"
find img upload download -type f -name "*.php"
ls -d admin*
SELECT email, firstname, lastname, active FROM ps_employee;
Kui kliendid teatavad ostu järel ebatavalistest maksekülgedest või kaardiväärkasutusest, võtke kassa võrgust maha ja varundage logid alates 20.10.2026. Manipuleeritud kassa võib iga järgmise ostu puhul andmeid kaasa lugeda.
Back Office, töötajate kontod ja moodulid
Back Office asub paigaldamisel antud individuaalse nimega kataloogis. Kontrollige menüüs Täpsemad sätted töötajate kontosid ja profiile tundmatute või hüljatud ligipääsude suhtes, näiteks endistelt agentuuridelt. Piirake admin-kataloog võimaluse korral teadaolevatele võrkudele.
Turuplatsi ja kolmandate osapoolte moodulid laiendavad makset, saatmist, turundust ja liideseid. Iga moodul on lisa-PHP kood ja aktiivse hoolduseta moodulid kuuluvad PrestaShopi poodide sagedaseimate sissepääsude hulka. Desinstallige ja kustutage kasutamata moodulid, selle asemel et neid ainult välja lülitada. Kontrollige ka API veebiteenuse võtmeid tundmatute kirjete suhtes.
Mida PrestaShopi uuendus suudab ja mida mitte
PrestaShopi või üksikute moodulite uuendus sulgeb selle koodi vead. See ei paiga PHP-d, ei taaskäivita protsesse ega eemalda ülekirjutusi, võõraid mooduleid, skripte teemas ega uusi töötajate kontosid. Kui isikuandmed on kaasa loetud, võib lisaks olla teavitamiskohustus; üldist teavet pakub leht IKÜM-i teavitamiskohustus: 72 tundi, üksikjuhtumi hinnangu annab teie andmekaitsespetsialist. Mida kauplejad veel arvesse peaksid võtma, võtab kokku leht Veebipoodide IT-turvalisus.
Mitme riigi või Multistore-funktsiooniga poodide puhul töötavad sama paigalduse peal sageli mitu domeeni. Leid mõjutab siis kõiki poode, ka kui kõrvalekallet märgati vaid ühes.
Kuidas PHP SOS konkreetselt aitab?
- Selgitame koos teie majutajaga PHP seisu, tagasiportimise ja taaskäivituse.
- Varundame logid, failid ja andmebaasi ning dokumenteerime lähteseisu.
- Kontrollime ülekirjutusi, mooduleid, teemat, üleslaadimiskaustu, töötajate kontosid ja veebiteenuse võtmeid.
- Leidude korral viib puhastamise ja ligipääsude uuendamise läbi meie pahavara eemaldamine.
Korduma kippuvad küsimused
Kas PrestaShopi uuendus sulgeb PHP2Shelli?
Ei. PrestaShopi uuendused parandavad vigu poe koodis. PHP2Shelli turvaaugud asuvad PHP interpretaatoris ja need suletakse ainult PHP uuenduse või kinnitatud tagasiportimisega (backport) koos kõigi PHP protsesside taaskäivitusega.
Kust ma PrestaShopis PHP versiooni näen?
Back Office'is menüüs Täpsemad sätted > Teave. Seal on serveri ja PHP andmed. Sisse toodud tagasiportimist numbrist ära ei tunne; seda kinnitab teie majutaja.
Mis on kaust override ja miks seda kontrollida?
Kaustas override saab PrestaShopi klasse ja kontrollereid üle kirjutada. Seal olev kood töötab originaali asemel, näiteks kassas. Tundmatud ülekirjutused on seetõttu kahtluse korral oluline kontrollpunkt.
Kas admin-kataloog peab olema ümber nimetatud?
PrestaShop annab paigaldamisel admin-kataloogile oma nime. See raskendab selle leidmist, kuid ei asenda tugevaid paroole, kaheastmelist autentimist ega ligipääsupiirangut.