# Shopware 6 biztonsági rés, PHP2Shell: így védje a webshopját

> Shopware 6 és PHP2Shell: miért nem elég a webshop-frissítés, hol rejtőzhet kártékony kód (.env, custom/plugins, public), integrációk ellenőrzése.

Forrás: https://phpsos.de/hu/plattformen/shopware-6/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A Shopware 6 biztonsági rése, amelyet jelenleg sok kereskedő keres, valójában a PHP egyik rése. A Shopware-frissítések nem zárják le. Javított PHP-ra van szükség az összes folyamat újraindításával, utána pedig érdemes ellenőrizni a `.env` fájlt, a `custom/plugins` mappát, a `public` könyvtárat és az API-integrációkat.

## Mit jelent a PHP2Shell a Shopware 6 számára

A Shopware 6 a Symfony PHP-keretrendszerre épül, és többnyire PHP-FPM-mel fut Nginx vagy Apache mögött. A CVE-2026-109618 és a CVE-2026-109619 rések éppen ezt az üzemmódot érintik. A PHP-csapat szerint lehetővé teszik kártékony kód távoli futtatását, a webshopba való bejelentkezés nélkül.

A szerveren kódot futtatni képes támadó mindent elér, amihez maga a webshop is hozzáfér: ügyféladatokat, rendeléseket, számladokumentumokat, az áruházi gazdálkodási rendszer és a fizetési szolgáltatók hozzáférési adatait. A technikai hátteret a [Mi az a PHP2Shell?](https://phpsos.de/hu/php2shell/was-ist-php2shell/) oldalon magyarázzuk el.

## A Shopware 6 biztonsági rés ellenőrzése: melyik PHP fut valójában?

A Shopware 6-ot sokat a parancssorból kezelik, például a `bin/console` paranccsal. Ilyenkor kézenfekvő hiba: a `php -v` a parancssori PHP verzióját mutatja, nem feltétlenül azét a PHP-FPM-ét, amely a webshop kéréseit dolgozza fel. Sok szerveren több PHP-verzió van párhuzamosan telepítve.

Megbízható a tárhelykezelő panelben az adott domainhez megadott érték és a tárhelyszolgáltató megerősítése a csomagállapotról. A javított upstream verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35; a backportok régebbi számot is viselhetnek. Hogy a Shopware-verziója mely PHP-verziókat támogatja, azt a rendszerkövetelmények szerint a shopware.com dokumentációjában ellenőrizheti. Hogyan nézhet utána maga, azt a [A PHP-verzió és a javítási állapot helyes ellenőrzése](https://phpsos.de/hu/php2shell/php-version-pruefen/) oldal írja le.

A Shopware 6-nál egy pont gyakran elkerüli a figyelmet: sok webshop az üzenetsort és az ütemezett feladatokat tartósan futó háttérfolyamatokkal dolgozza fel, például a `bin/console messenger:consume` paranccsal egy folyamatkezelő alatt. Ezek a folyamatok a PHP-t egyszer, induláskor töltik be. A frissítés után ezért nem csak a PHP-FPM-et, hanem ezeket a workereket is újra kell indítani. Különben a webshop egy része tovább dolgozik a memóriában lévő régi, sebezhető PHP-val.

## Könyvtárak és fájlok, amelyeket ismernie kell

| Hely | Tartalom | Miért lényeges |
|---|---|---|
| `.env`, `.env.local` | adatbázis-hozzáférés, `APP_SECRET`, további kulcsok | Gyanú esetén meg kell újítani |
| `public/` | dokumentumgyökér az `index.php`-vel, médiákkal, téma-fájlokkal | A további PHP-fájlok gyanúsak |
| `public/theme/` | a Storefront lefordított JavaScript- és CSS-fájljai | A bejuttatott skimmerek helye |
| `custom/plugins/`, `custom/apps/` | bővítmények | Módosított bővítménykód |
| `files/` | privát fájlok, például számlák és szállítólevelek | Személyes adatok |
| `var/log/` | a webshop naplói | Nyomok mentése |

Veszélytelen első ellenőrzések:

```bash
# A telepített bővítmények megjelenítése verzióval és állapottal
bin/console plugin:list
# A nyilvános könyvtárban lévő PHP-fájlok felsorolása
find public -type f -name "*.php"
# Ismert rések megjelenítése a Composer-függőségekben
composer audit
```

A `public/` mappában csak kevés, ismert PHP-fájlnak szabad lennie. Mindent, ami ismeretlen, le kell menteni és meg kell vizsgálni, nem azonnal törölni.

> **Tipp:**
> Az Adminisztrációban a Beállítások > Rendszer alatt nézze át a „Felhasználók és jogok” és az „Integrációk” területet. Az ismeretlen felhasználók vagy API-integrációk olyan hátsó ajtók, amelyeket minden fájlkeresés átnéz.

## Admin-hozzáférés, bővítmények és appok mint kockázat

Az Adminisztráció alapértelmezetten a `/admin` alatt található. Védje személyes fiókokkal, erős bejelentkezéssel, és ha lehet, az ismert hálózatokra korlátozott hozzáféréssel. Az áruházi gazdálkodási rendszerek, piacterek vagy szállítási szolgáltatók integrációinak csak azok a jogai legyenek, amelyekre valóban szükségük van.

Az áruházból származó bővítmények és a saját fejlesztések saját PHP-kódot hoznak magukkal, az appok ezenfelül webhookokat külső szerverekre. Minél több a bővítmény, annál nagyobb a támadási felület, és annál munkaigényesebb minden PHP-frissítés. A már nem használt bővítményeket teljesen távolítsa el.

## Mit tud egy Shopware-frissítés, és mit nem

A Shopware vagy egy bővítmény frissítése lezárja az ebben a kódban lévő ismert hibákat. Nem tudja:

- megjavítani a PHP-t a szerveren,
- újraindítani a régi PHP-FPM-folyamatokat,
- biztonságosan eltávolítani az idegen fájlokat a `public/` mappából vagy a manipulált téma-fájlokat,
- törölni az idegen felhasználókat vagy integrációkat,
- bizonyítani, hogy a javítás előtt nem történt semmi.

Új főverzióra való PHP-frissítés után a gyorsítótárat és a témát újra kell előállítani, a webshopot pedig tesztkörnyezetben ellenőrizni. A PHP-váltást igazolással együtt kérésére a [PHP-javítási szolgáltatásunk](https://phpsos.de/hu/leistungen/php-patch-service/) végzi el.

A Shopware 6 a nagyobb kereskedőknél gyakran több alkalmazásszerveren fut. Ilyenkor minden szervernek javítottnak és újraindítottnak kell lennie, azoknak is, amelyek csak háttérfeladatokat dolgoznak fel. Ha egy szolgáltató menedzselt platformként üzemelteti a webshopot, erősítse meg Önnek az állapotot minden csomópontra.

## Hogyan segít konkrétan a PHP SOS?

- Megállapítjuk, melyik PHP-t használja a webshopja ténylegesen az FPM-en keresztül, és a javítást és az újraindítást a tárhelyszolgáltatóval vagy az ügynökséggel tisztázzuk.
- Mentjük a naplókat 2026. 10. 20-tól, az adatbázist és a fájlokat.
- Ellenőrizzük a `public/` mappát, a lefordított téma-fájlokat, a bővítményeket, a felhasználókat és az integrációkat rendellenességek szempontjából.
- Találat esetén az ügynökségével együtt megtisztítjuk a webshopot, és rendezetten megújítjuk a kulcsokat és a hozzáféréseket.


## Gyakori kérdések

**Érinti maga a Shopware 6 a PHP2Shellt?**  
A rések a PHP-ben vannak, nem a Shopware-kódban. Minden javítatlan PHP-n futó Shopware 6 webshop ezért potenciálisan támadható, a Shopware-verziótól függetlenül. Egy Shopware-frissítés ezen nem változtat.

**Melyik fájl különösen kritikus a Shopware 6-ban egy támadás után?**  
A .env vagy .env.local fájl az adatbázis-hozzáféréssel és az APP_SECRET-tel. Aki el tudta olvasni, ismeri a hozzáférési adatait. Gyanú esetén ezeket az értékeket meg kell újítani, az ügynökségével egyeztetve.

**Mik az integrációk a Shopware 6-ban, és miért kell ellenőrizni őket?**  
Az integrációk külső rendszerek, például áruházi gazdálkodási rendszerek vagy piacterek API-hozzáférései. Egy idegen, adminisztrátori jogú integráció az API-n keresztül teljes hozzáférést ad a webshophoz anélkül, hogy bármilyen fájl lenne a szerveren.

## Források

- [php.net: biztonsági közlemények](https://www.php.net/)
- [Shopware](https://www.shopware.com/)
- [Támogatott PHP-verziók](https://www.php.net/supported-versions.php)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)