# OXID eShop biztonság a PHP2Shell után: webshop és interfészek védelme

> OXID eShop védelme a PHP2Shell után: PHP-állapot az adminban, config.inc.php és modulok átvizsgálása, admin-fiókok és B2B-interfészek védelme.

Forrás: https://phpsos.de/hu/plattformen/oxid-eshop/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** Az OXID eShop biztonsága a PHP2Shell után először a szervert érinti: a rés a PHP-ben van, nem az OXID-ban. Erősíttesse meg a PHP-állapotot, és indíttassa újra az összes folyamatot. Utána ellenőrizze a `config.inc.php` fájlt, a modulokat, a téma-fájlokat, az admin-fiókokat, valamint az ERP és a fizetési szolgáltatások hozzáféréseit.

## Miért kell az OXID-webshopoknak alaposan körülnézniük

Az OXID eShop a német nyelvterületen főként a B2B-kereskedelemben, a közvetlen értékesítést folytató gyártóknál és a nagykereskedelemben elterjedt. Az ilyen webshopok ritkán különálló megoldások: rendeléseket, árakat, készleteket és ügyféladatokat cserélnek az ERP-vel, a PIM-mel és a fizetési szolgáltatásokkal. A webshop szerverén lévő támadó ezért gyakran többet lát, mint csak a webshopot.

A CVE-2026-109618 és a CVE-2026-109619 PHP-rések a PHP-csapat szerint lehetővé teszik kártékony kód távoli futtatását bejelentkezés nélkül. Az nem számít, hogy maga az OXID naprakész-e. Az OXID-webshopok tipikus adatai:

- üzleti ügyfelek kapcsolattartókkal, címekkel, ügyfélszámokkal és egyedi árakkal
- rendelési előzmények és árajánlat-kérések
- az ERP, a fizetési és szállítási szolgáltatások hozzáférési adatai a konfigurációban és a modulbeállításokban
- alkalmazotti fiókok az admin területen

## OXID eShop biztonság: a PHP-állapot helyes ellenőrzése

Az Admin területen a **Service > Systeminfo** megmutatja a futó webshop PHP-adatait. Ez az a webes verzió, amellyel az ügyfeleket kiszolgálják. Az OXID-konzol, az importok és a cron-feladatok ezzel szemben gyakran egy parancssori PHP-val futnak, amely más verzió lehet. Mindkettőnek javítottnak kell lennie.

A javított upstream verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A disztribúciók és a tárhelyszolgáltatók a javításokat részben backportként szállítják, a szám ilyenkor ugyanaz marad; a megerősített csomagállapot a döntő. Hogy az OXID-verziója mely PHP-verziókat támogatja, azt a gyártó dokumentációjában a rendszerkövetelmények szerint az oxid-esales.com oldalon ellenőrizheti.

A 4-es generációjú vagy a 6-os generáció korai verziójú régebbi OXID-webshopok gyakran még régi, hivatalos frissítések nélküli PHP-verziókon futnak. Ilyenkor a frissítésig átmeneti védelemre és szilárd ütemtervre van szükség.

## Könyvtárak és fájlok az OXID-ban

Az OXID 6 óta a webshopot Composerrel telepítik; a dokumentumgyökér rendszerint a `source/` könyvtár.

| Hely | Tartalom | Ellenőrzési pont |
|---|---|---|
| `source/config.inc.php` | adatbázis-hozzáférés, alapbeállítások | beszúrt kód, jelszó megváltoztatása gyanú esetén |
| `source/modules/` (az OXID 6-ig), az OXID 7-től `vendor/` | modulok, részben Composer-csomagokból | ismeretlen modulok, módosított fájlok |
| `var/configuration/` | modul- és webshop-konfiguráció fájlokként | váratlan változások |
| `source/out/` | témák, képek, JavaScript | idegen szkriptek, PHP-fájlok a képmappákban |
| `source/tmp/` | lefordított sablonok és gyorsítótár | tisztítás után kiüríteni |
| `source/log/` | a webshop naplója | változtatások előtt mentse |

A `tmp` könyvtárban lévő lefordított sablonokat gyakran átnézik. PHP-kódból állnak, és tisztítás után újra előállnak; ezért a mappát minden lelet után ki kell üríteni.

Veszélytelen első ellenőrzések:

```bash
# PHP-fájlok a kép- és médiamappákban
find source/out -type f -name "*.php"
# A 2026. 10. 17. óta módosított modulfájlok (OXID 6; az OXID 7-től a modulok a vendor/ alatt vannak)
find source/modules -type f -newermt "2026-10-17"
# Ismert rések a függőségekben
composer audit
```

> **Fontos:**
> Egy megtisztított webshop-szerver nem teszi újra titkossá az elszivárgott interfész-hozzáféréseket. Gyanú esetén újítsa meg az ERP, a fizetési és szállítási szolgáltatások hozzáférési adatait, az üzemeltetőikkel egyeztetve.

## Admin terület és modulok

Az Admin terület alapértelmezetten az `/admin/` alatt található. Ellenőrizze a felhasználókezelést olyan admin-jogú fiókok szempontjából, amelyeket senki sem tud hozzárendelni, valamint a volt szolgáltatók hozzáféréseit. Ha lehet, korlátozza az admin-hozzáférést a céges hálózatra vagy egy VPN-re; a B2B-környezetben ez többnyire jól megoldható.

A fizetési módok, az ERP-kapcsolat, a B2B-funkciók, például a sávos árak vagy a jóváhagyási folyamatok moduljai az OXID-webshopokban gyakran egyedire szabottak. Minden modul saját PHP-kód, és az egyedire szabott modulok gyakran fékezik a PHP-frissítéseket. Jegyezze fel, mely modulok aktívak, ki gondozza őket, és van-e verziójuk a célzott PHP-verzióhoz.

## Mit tud egy OXID-frissítés, és mit nem

Az OXID vagy egy modul frissítése lezárja az ebben a kódban lévő hibákat, és lehetővé tehet újabb PHP-verziókat. A PHP-t nem javítja, és sem a PHP-FPM-et, sem a háttérfolyamatokat nem indítja újra. Az idegen fájlok a `source/out` mappában, a manipulált modulok, a lefordított sablonok és az új admin-fiókok megmaradnak. Hogy vannak-e egy támadás jelei, azt a [Feltörték már?](https://phpsos.de/hu/php2shell/bin-ich-gehackt-anzeichen/) oldal segítségével ellenőrizze. A közép-vállalkozások helyzetéhez illik az [Informatikai biztonság közép-vállalkozásoknak és iparnak](https://phpsos.de/hu/branchen/mittelstand-industrie/).

Sok OXID-webshopnak az éles rendszer mellett van egy staging-környezete ugyanazon vagy egy második szerveren. Ezt is ellenőrizze és javítsa, mert gyakran tartalmazza az ügyféladatok másolatát, és a támadóknak ugyanolyan hasznos.

## Hogyan segít konkrétan a PHP SOS?

- Megállapítjuk az OXID-szervere web- és CLI-s PHP-ját, és megerősíttetjük a javítást és az újraindítást.
- Mentjük a naplókat 2026. 10. 20-tól, a fájlokat és az adatbázist.
- Ellenőrizzük a `config.inc.php` fájlt, a modulokat, a témákat, a lefordított sablonokat és az admin-fiókokat.
- Gyanú esetén az [incidenskezelésünkön](https://phpsos.de/hu/leistungen/incident-response/) keresztül koordináljuk a tisztítást és az interfész-hozzáférések megújítását az ügynökségével és az ERP-szolgáltatóival.


## Gyakori kérdések

**Érinti az OXID eShopot a PHP2Shell?**  
A PHP2Shell nem OXID-rés, hanem a PHP rése. Minden javítatlan PHP-szerveren futó OXID-webshop ezért potenciálisan támadható. Egy OXID-frissítés nem zárja le a rést.

**Hol látom az OXID-ban a PHP-verziót?**  
Az Admin területen a Service > Systeminfo alatt, ott a futó webshop PHP-adatai jelennek meg. Hogy be van-e juttatva backport, abból nem ismerhető fel; ezt a tárhelyszolgáltatója vagy az üzemeltetője erősíti meg.

**Melyik OXID-fájl tartalmazza a hozzáférési adatokat?**  
A source könyvtárban lévő config.inc.php fájl. Az adatbázis-hozzáférést tartalmazza. Gyanú esetén meg kell változtatnia az adatbázis jelszavát, és ellenőriznie kell a fájlt beszúrt kód szempontjából.

**Ellenőriznünk kell az ERP-interfészünket?**  
Igen. Ha egy támadó kódot futtatott a webshop szerverén, kiolvashatta az ERP, a PIM vagy a fizetési szolgáltatások hozzáférési adatait. Ezeket a hozzáféréseket gyanú esetén meg kell újítani.

## Források

- [php.net: biztonsági közlemények](https://www.php.net/)
- [OXID eSales](https://www.oxid-esales.com/)
- [Támogatott PHP-verziók](https://www.php.net/supported-versions.php)
- [BSI (a német Szövetségi Információbiztonsági Hivatal)](https://www.bsi.bund.de/)