Lyhyesti: OXID eShopin tietoturvassa on PHP2Shellin jälkeen kyse ensin palvelimesta: aukko on PHP:ssä, ei OXIDissa. Pyytäkää PHP:n tila vahvistettavaksi ja kaikki prosessit käynnistettäviksi uudelleen. Sen jälkeen tarkistakaa config.inc.php, moduulit, teematiedostot, ylläpitäjätilit sekä pääsy ERP:hen ja maksupalveluihin.
Miksi OXID-kauppojen on syytä katsoa tarkasti
OXID eShop on saksankielisellä alueella yleinen erityisesti B2B-kaupassa, suoramyyntiä harjoittavilla valmistajilla ja tukkukaupassa. Tällaiset kaupat harvoin ovat itsenäisiä saarekkeita: ne vaihtavat tilauksia, hintoja, varastosaldoja ja asiakastietoja ERP:n, PIM:n ja maksupalvelujen kanssa. Kauppapalvelimella oleva hyökkääjä näkee siksi usein enemmän kuin pelkän kaupan.
PHP-tiimin mukaan PHP-haavoittuvuudet CVE-2026-109618 ja CVE-2026-109619 sallivat haittakoodin suorittamisen etänä ilman kirjautumista. Sillä, onko OXID itse ajan tasalla, ei ole tässä merkitystä. Tyypillisiä tietoja OXID-kaupoissa ovat:
- Yritysasiakkaat yhteyshenkilöineen, osoitteineen, asiakasnumeroineen ja yksilöllisine hintoineen
- Tilaushistoria ja tarjouspyynnöt
- ERP-, maksu- ja toimituspalvelujen tunnukset asetuksissa ja moduulien asetuksissa
- Työntekijätilit admin-alueella
OXID eShopin tietoturva: PHP-tilan oikea tarkistus
Admin-alueella kohta Palvelu > Järjestelmätiedot näyttää käynnissä olevan kaupan PHP-tiedot. Se on web-versio, jolla asiakkaita palvellaan. OXID-konsoli, tuonnit ja cron-ajot toimivat sen sijaan usein komentorivi-PHP:llä, joka voi olla eri versio. Molempien on oltava korjattuja.
Korjatut upstream-versiot ovat 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Jakelut ja hosting-yritykset toimittavat korjauksia osin backporttina, jolloin numero pysyy samana; ratkaisevaa on vahvistettu pakettitila. Mitä PHP-versioita teidän OXID-versionne tukee, tarkistatte valmistajan dokumentaation järjestelmävaatimuksista osoitteessa oxid-esales.com.
Sukupolven 4 vanhemmat OXID-kaupat tai sukupolven 6 varhaiset versiot toimivat usein yhä vanhoilla PHP-versioilla ilman virallisia päivityksiä. Silloin tarvitaan päivitykseen asti väliaikainen suojaus ja kiinteä aikataulu.
OXIDin hakemistot ja tiedostot
OXID 6:sta lähtien kauppa asennetaan Composerilla; dokumenttijuuri on yleensä hakemisto source/.
| Paikka | Sisältö | Tarkistuskohde |
|---|---|---|
source/config.inc.php |
Tietokantatunnukset, perusasetukset | sisään ujutettu koodi, salasana vaihdettava epäilyn jälkeen |
source/modules/ (OXID 6:een asti), OXID 7:stä alkaen vendor/ |
Moduulit, osin Composer-paketeista | tuntemattomat moduulit, muutetut tiedostot |
var/configuration/ |
Moduulien ja kaupan asetukset tiedostoina | odottamattomat muutokset |
source/out/ |
Teemat, kuvat, JavaScript | vieraat skriptit, PHP-tiedostot kuvakansioissa |
source/tmp/ |
käännetyt mallipohjat ja välimuisti | tyhjennettävä puhdistuksen jälkeen |
source/log/ |
Kaupan loki | talteen ennen muutoksia |
Hakemiston tmp käännetyt mallipohjat jäävät usein huomaamatta. Ne koostuvat PHP-koodista ja luodaan puhdistuksen jälkeen uudelleen; siksi kansio kannattaa tyhjentää jokaisen löydöksen jälkeen.
Vaarattomat ensitarkistukset:
# PHP-tiedostot kuva- ja mediakansioissa
find source/out -type f -name "*.php"
# Moduulitiedostot, jotka ovat muuttuneet 17.10.2026 jälkeen (OXID 6; OXID 7:stä alkaen moduulit ovat hakemistossa vendor/)
find source/modules -type f -newermt "2026-10-17"
# Riippuvuuksien tunnetut aukot
composer audit
Puhdistettu kauppapalvelin ei tee vuotaneita rajapintatunnuksia taas salaisiksi. Uusikaa epäilyn jälkeen ERP-, maksu- ja toimituspalvelujen tunnukset sopien asiasta niiden ylläpitäjien kanssa.
Admin-alue ja moduulit
Admin-alue on oletuksena osoitteessa /admin/. Tarkistakaa käyttäjähallinnasta admin-oikeuksilla varustetut tilit, joita kukaan ei osaa yhdistää, sekä entisten palveluntarjoajien tunnukset. Rajatkaa admin-pääsy mahdollisuuksien mukaan yrityksen verkkoon tai VPN:ään; B2B-ympäristössä se on yleensä helposti toteutettavissa.
Maksutapojen, ERP-liitännän ja B2B-toimintojen, kuten porrastettujen hintojen tai hyväksymisprosessien, moduulit on OXID-kaupoissa usein räätälöity. Jokainen moduuli on omaa PHP-koodia, ja räätälöidyt moduulit hidastavat PHP-päivityksiä usein. Kirjatkaa ylös, mitkä moduulit ovat aktiivisia, kuka niitä ylläpitää ja onko niistä versiota tavoitellulle PHP-versiolle.
Mihin OXID-päivitys pystyy ja mihin ei
OXIDin tai moduulin päivitys sulkee tämän koodin tunnetut virheet ja voi mahdollistaa uudemmat PHP-versiot. Se ei korjaa PHP:tä eikä käynnistä PHP-FPM:ää tai taustaprosesseja uudelleen. Vieraat tiedostot hakemistossa source/out, muokatut moduulit, käännetyt mallipohjat ja uudet admin-tilit säilyvät. Onko hyökkäyksestä merkkejä, tarkistatte sivun Olenko jo vaarantunut? avulla. Keskisuurten yritysten tilanteeseen sopii Keskisuurten yritysten ja teollisuuden IT-turva.
Monella OXID-kaupalla on tuotantojärjestelmän rinnalla staging-ympäristö samalla tai toisella palvelimella. Tarkistakaa ja korjatkaa myös se, sillä siinä on usein kopio asiakastiedoista ja se on hyökkääjille yhtä hyödyllinen.
Miten PHP SOS auttaa konkreettisesti?
- Selvitämme OXID-palvelimenne web- ja CLI-PHP:n ja varmennamme korjauksen ja uudelleenkäynnistyksen.
- Varmuuskopioimme lokit 20.10.2026 alkaen, tiedostot ja tietokannan.
- Tarkistamme
config.inc.php:n, moduulit, teemat, käännetyt mallipohjat ja admin-tilit. - Epäilyn yhteydessä koordinoimme Incident Response -palvelumme kautta puhdistuksen ja rajapintatunnusten uusimisen toimistonne ja ERP-palveluntarjoajienne kanssa.
Usein kysytyt kysymykset
Koskeeko PHP2Shell OXID eShopia?
PHP2Shell ei ole OXID-aukko vaan PHP:n aukko. Jokainen OXID-kauppa korjaamattomalla PHP-palvelimella on siksi mahdollisesti haavoittuva. OXID-päivitys ei sulje aukkoa.
Mistä näen OXIDissa PHP-version?
Admin-alueella kohdassa Palvelu > Järjestelmätiedot näkyvät käynnissä olevan kaupan PHP-tiedot. Asennettua backportia ei tunnista siitä; sen vahvistaa hosting-palveluntarjoajanne tai ylläpitäjänne.
Mikä OXID-tiedosto sisältää tunnukset?
Tiedosto config.inc.php hakemistossa source. Se sisältää tietokantatunnukset. Epäilyn jälkeen tietokannan salasana kannattaa vaihtaa ja tiedosto tarkistaa sisään ujutetun koodin varalta.
Pitääkö meidän tarkistaa ERP-rajapintamme?
Kyllä. Jos hyökkääjä on suorittanut koodia kauppapalvelimella, hän on voinut lukea ERP-, PIM- tai maksupalvelutunnukset. Nämä tunnukset kannattaa uusia epäilyn jälkeen.