Īsi: Shopware 6 ievainojamība, ko šobrīd meklē daudzi tirgotāji, patiesībā ir PHP ievainojamība. Shopware atjauninājumi to neaizver. Nepieciešams ielāpots PHP ar visu procesu pārstartēšanu, un pēc tam jāpārbauda .env, custom/plugins, direktorija public un API integrācijas.
Ko PHP2Shell nozīmē Shopware 6
Shopware 6 balstās uz PHP ietvaru Symfony un parasti darbojas ar PHP-FPM aiz Nginx vai Apache. Ievainojamības CVE-2026-109618 un CVE-2026-109619 skar tieši šo darbības veidu. Saskaņā ar PHP komandu tās ļauj izpildīt ļaunprātīgu kodu no attāluma bez pieteikšanās veikalā.
Uzbrucējs ar koda izpildi serverī sasniedz visu, kam piekļūst pats veikals: klientu datus, pasūtījumus, rēķinu dokumentus, piekļuves datus preču uzskaitei un maksājumu pakalpojumu sniedzējiem. Tehnisko fonu skaidrojam rakstā Kas ir PHP2Shell?.
Shopware 6 ievainojamības pārbaude: kurš PHP patiešām darbojas?
Shopware 6 daudz uztur caur komandrindu, piemēram, ar bin/console. Tur viegli kļūdīties: php -v rāda komandrindas PHP versiju, nevis obligāti tās PHP-FPM versiju, kas apstrādā veikala pieprasījumus. Daudzos serveros paralēli ir uzstādītas vairākas PHP versijas.
Uzticami ir dati hostinga panelī konkrētajam domēnam un hostinga sniedzēja apstiprinājums par pakotnes stāvokli. Labotās upstream versijas ir 8.5.12, 8.4.27, 8.3.36 un 8.2.35; backport labojumiem var būt vecāki numuri. Kuras PHP versijas atbalsta jūsu Shopware versija, pārbaudiet pēc sistēmas prasībām dokumentācijā vietnē shopware.com. Kā paši varat pārbaudīt, lasiet rakstā PHP versijas un ielāpa stāvokļa pareiza pārbaude.
Vienu punktu Shopware 6 bieži palaiž garām: daudzi veikali ziņojumu rindu un plānotos uzdevumus apstrādā ar pastāvīgi darbojošiem fona procesiem, piemēram, bin/console messenger:consume zem procesu pārvaldnieka. Šie procesi PHP ielādē vienreiz startēšanas brīdī. Pēc atjaunināšanas tāpēc jāpārstartē ne tikai PHP-FPM, bet arī šie worker procesi. Citādi daļa veikala turpina strādāt ar veco, ievainojamo PHP atmiņā.
Direktorijas un faili, kas jāzina
| Vieta | Saturs | Kāpēc svarīgi |
|---|---|---|
.env, .env.local |
Datubāzes piekļuve, APP_SECRET, citas atslēgas |
Aizdomu gadījumā jāmaina |
public/ |
Dokumentu sakne ar index.php, mediji, tēmas faili |
Papildu PHP faili ir aizdomīgi |
public/theme/ |
Veikala priekšpuses kompilētie JavaScript un CSS faili | Vieta ievadītiem skimmeriem |
custom/plugins/, custom/apps/ |
Paplašinājumi | Mainīts spraudņa kods |
files/ |
Privāti faili, piemēram, rēķini un pavadzīmes | Personas dati |
var/log/ |
Veikala žurnāli | Saglabāt pēdas |
Droši pirmie pārbaudes soļi:
# Parādīt instalētos spraudņus ar versiju un statusu
bin/console plugin:list
# Izvadīt PHP failus publiskajā direktorijā
find public -type f -name "*.php"
# Parādīt zināmas ievainojamības Composer atkarībās
composer audit
Mapē public/ jābūt tikai dažiem zināmiem PHP failiem. Viss nezināmais jāsaglabā un jāpārbauda, nevis uzreiz jādzēš.
Pārbaudiet administrēšanas panelī sadaļā Iestatījumi > Sistēma apgabalus „Lietotāji un tiesības” un „Integrācijas”. Nezināmi lietotāji vai API integrācijas ir slēpta ieeja, ko katra failu skenēšana palaiž garām.
Administratora piekļuve, spraudņi un lietotnes kā risks
Administrēšanas panelis pēc noklusējuma atrodas adresē /admin. Aizsargājiet to ar personīgiem kontiem, stipru pieteikšanos un, ja iespējams, ar piekļuves ierobežojumu zināmiem tīkliem. Integrācijām preču uzskaitei, tirdzniecības vietnēm vai piegādes pakalpojumu sniedzējiem jābūt tikai tām tiesībām, kas tām patiešām vajadzīgas.
Spraudņi no veikala un pašizstrādātie risinājumi atnes savu PHP kodu, lietotnes papildus webhooks uz ārējiem serveriem. Jo vairāk paplašinājumu, jo lielāka uzbrukuma virsma un jo darbietilpīgāks katrs PHP jauninājums. Neizmantotos spraudņus noņemiet pilnībā.
Ko Shopware atjauninājums var un ko ne
Shopware vai spraudņa atjauninājums aizver zināmas kļūdas šajā kodā. Tas nevar:
- ielāpot PHP serverī,
- pārstartēt vecos PHP-FPM procesus,
- droši noņemt svešus failus mapē
public/vai manipulētus tēmas failus, - dzēst svešus lietotājus vai integrācijas,
- pierādīt, ka pirms ielāpa nekas nav noticis.
Pēc PHP atjaunināšanas uz jaunu galveno versiju jāpārģenerē kešatmiņa un tēma, un veikals jāpārbauda testa vidē. PHP maiņu ar apliecinājumu pēc vēlēšanās veic mūsu PHP ielāpu pakalpojums.
Shopware 6 lielākiem tirgotājiem bieži darbojas uz vairākiem lietojumprogrammu serveriem. Tad katram serverim jābūt ielāpotam un pārstartētam, arī tiem, kas apstrādā tikai fona uzdevumus. Ja veikalu kā pārvaldītu platformu darbina pakalpojumu sniedzējs, viņam jums jāapstiprina stāvoklis visiem mezgliem.
Kā PHP SOS palīdz konkrēti?
- Mēs noskaidrojam, kuru PHP jūsu veikals caur FPM patiešām izmanto, un kopā ar hostinga sniedzēju vai aģentūru nokārtojam ielāpu un pārstartēšanu.
- Mēs saglabājam žurnālus no 20.10.2026, datubāzi un failus.
- Mēs pārbaudām
public/, kompilētos tēmas failus, spraudņus, lietotājus un integrācijas uz neatbilstībām. - Atrasto gadījumā mēs attīrām veikalu kopā ar jūsu aģentūru un sakārtoti mainām atslēgas un piekļuves.
Biežāk uzdotie jautājumi
Vai pats Shopware 6 ir skarts ar PHP2Shell?
Ievainojamības ir PHP, nevis Shopware kodā. Tāpēc katrs Shopware 6 veikals uz neielāpota PHP potenciāli ir ievainojams neatkarīgi no Shopware versijas. Shopware atjauninājums tam neko nemaina.
Kurš fails Shopware 6 pēc uzbrukuma ir īpaši kritisks?
Fails .env vai .env.local ar datubāzes piekļuvi un APP_SECRET. Kas to varēja nolasīt, zina jūsu piekļuves datus. Aizdomu gadījumā šīs vērtības jāmaina, saskaņojot ar jūsu aģentūru.
Kas ir integrācijas Shopware 6 un kāpēc tās pārbaudīt?
Integrācijas ir API piekļuves ārējām sistēmām, piemēram, preču uzskaitei vai tirdzniecības vietnēm. Sveša integrācija ar administratora tiesībām ļauj pilnībā piekļūt veikalam caur API, un serverī nav jāatrodas nevienam failam.