Fil-qosor: Fis-sigurtà ta' OXID eShop, wara PHP2Shell, jitqies l-ewwel is-server: il-vulnerabbiltà tinsab f'PHP, mhux f'OXID. Ħallu jiġi kkonfermat l-istat ta' PHP u jerġgħu jinbdew il-proċessi kollha. Wara ivverifikaw config.inc.php, il-moduli, il-fajls tat-theme, il-kontijiet tal-admin u l-aċċessi għal ERP u għal servizzi tal-pagament.
Għaliex il-ħwienet OXID għandhom jiġu eżaminati mill-qrib
OXID eShop huwa mifrux fiż-żona li titkellem bil-Ġermaniż l-aktar fil-kummerċ B2B, għand manifatturi bi tbigħ dirett u fil-kummerċ bl-ingrossa. Ħwienet bħal dawn rari huma soluzzjonijiet iżolati: jiskambjaw ordnijiet, prezzijiet, stokkijiet u data tal-klijenti ma' ERP, PIM u servizzi tal-pagament. Attakkant fuq is-server tal-ħanut għalhekk spiss jara aktar mill-ħanut biss.
Skont it-tim ta' PHP, il-vulnerabbiltajiet ta' PHP CVE-2026-109618 u CVE-2026-109619 jippermettu kodiċi malizzjuż mill-bogħod mingħajr login. Jekk OXID innifsu huwiex aġġornat ma jaqbel xejn f'dan. Data tipika f'ħwienet OXID hija:
- Klijenti kummerċjali b'persuni ta' kuntatt, indirizzi, numri tal-klijenti u prezzijiet individwali
- Storja tal-ordnijiet u talbiet għal offerti
- Aċċessi għal ERP, għal servizzi tal-pagament u tal-ispedizzjoni fil-konfigurazzjoni u fl-issettjar tal-moduli
- Kontijiet tal-impjegati fiż-żona tal-admin
Sigurtà ta' OXID eShop: kif tivverifikaw sewwa l-istat ta' PHP
Fiż-żona tal-admin, Service > System info juri l-indikazzjonijiet ta' PHP tal-ħanut li qed jaħdem. Din hija l-verżjoni tal-web li biha jiġu servuti l-klijenti. Il-console ta' OXID, l-importazzjonijiet u l-cronjobs, min-naħa l-oħra, spiss jaħdmu b'PHP tal-linja tal-kmand li tista' tkun verżjoni differenti. It-tnejn iridu jkunu ppatchjati.
Il-verżjonijiet upstream rranġati huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Id-distribuzzjonijiet u l-hosters xi kultant iwasslu l-korrezzjonijiet bħala backport, u n-numru jibqa' l-istess; id-deċiżiv huwa l-istat tal-pakkett ikkonfermat. Liema verżjonijiet ta' PHP tappoġġja l-verżjoni ta' OXID tagħkom tivverifikawh, skont ir-rekwiżiti tas-sistema, fid-dokumentazzjoni tal-manifattur fuq oxid-esales.com.
Ħwienet OXID aktar qodma tal-ġenerazzjoni 4 jew verżjonijiet bikrin tal-ġenerazzjoni 6 spiss għadhom jaħdmu fuq verżjonijiet qodma ta' PHP mingħajr aġġornamenti uffiċjali. Allura sal-upgrade hemm bżonn protezzjoni temporanja u skeda taż-żmien stabbilita.
Direttorji u fajls f'OXID
Minn OXID 6 il-ħanut jiġi installat permezz ta' Composer; l-għerq tad-dokumenti huwa ġeneralment id-direttorju source/.
| Post | Kontenut | Punt ta' verifika |
|---|---|---|
source/config.inc.php |
Aċċess tad-database, issettjar bażiku | Kodiċi miżjud, biddlu l-password wara suspett |
source/modules/ (sa OXID 6), minn OXID 7 vendor/ |
Moduli, parzjalment minn pakketti ta' Composer | Moduli mhux magħrufa, fajls mibdula |
var/configuration/ |
Konfigurazzjoni tal-moduli u tal-ħanut bħala fajls | Bidliet mhux mistennija |
source/out/ |
Themes, immaġini, JavaScript | Skripts barranin, fajls PHP fil-folders tal-immaġini |
source/tmp/ |
Templates ikkompilati u cache | Ibattluh wara t-tindif |
source/log/ |
Protokoll tal-ħanut | Issalvaw qabel il-bidliet |
It-templates ikkompilati fid-direttorju tmp spiss jintesew. Jikkonsistu minn kodiċi PHP u jinħolqu mill-ġdid wara tindif; għalhekk il-folder għandu jitbattal wara kull sejba.
L-ewwel verifiki mingħajr periklu:
# Fajls PHP fil-folders tal-immaġini u tal-media
find source/out -type f -name "*.php"
# Fajls tal-moduli mibdula mis-17/10/2026 (OXID 6; minn OXID 7 il-moduli jinsabu f'vendor/)
find source/modules -type f -newermt "2026-10-17"
# Vulnerabbiltajiet magħrufa fid-dipendenzi
composer audit
Server tal-ħanut imnaddaf ma jerġax jagħmel sigrieti l-aċċessi tal-interfaces li ħarġu. Wara suspett ġeddu l-aċċessi għal ERP u għal servizzi tal-pagament u tal-ispedizzjoni b'ftehim mal-operaturi tagħhom.
Żona tal-admin u moduli
Iż-żona tal-admin tinsab b'mod standard taħt /admin/. Ivverifikaw l-amministrazzjoni tal-utenti għal kontijiet b'drittijiet ta' admin li ħadd ma jista' jassenjahom, u għal aċċessi ta' fornituri ta' qabel. Illimitaw l-aċċess tal-admin, jekk possibbli, għan-netwerk tal-kumpanija jew għal VPN; fl-ambjent B2B dan ġeneralment huwa fattibbli.
Moduli għal metodi tal-pagament, konnessjoni ma' ERP, funzjonijiet B2B bħal prezzijiet bi frak jew proċessi ta' approvazzjoni spiss ikunu adattati individwalment f'ħwienet OXID. Kull modulu huwa kodiċi PHP proprju, u moduli adattati spiss iżommu lura l-upgrades ta' PHP. Żommu bil-miktub liema moduli huma attivi, min iżommhom u jekk hemmx verżjoni għall-verżjoni mixtieqa ta' PHP.
X'jista' jagħmel aġġornament ta' OXID u x'ma jistax
Aġġornament ta' OXID jew ta' modulu jagħlaq żbalji magħrufa f'dan il-kodiċi u jista' jippermetti verżjonijiet ġodda ta' PHP. Ma jipatchjax PHP u ma jibdiex mill-ġdid la PHP-FPM u lanqas proċessi fl-isfond. Fajls barranin f'source/out, moduli manipulati, templates ikkompilati u kontijiet ġodda tal-admin jibqgħu. Jekk hemmx sinjali ta' attakk tivverifikawh b'Jien diġà kompromess?. Għas-sitwazzjoni fl-intrapriżi ta' daqs medju jaqbel Sigurtà tal-IT għall-intrapriżi ta' daqs medju u l-industrija.
Ħafna ħwienet OXID għandhom, minbarra s-sistema live, ambjent ta' staging fuq l-istess server jew fuq it-tieni wieħed. Ivverifikawh u ppatchjawh ukoll, għax spiss fih kopja tad-data tal-klijenti u huwa utli bl-istess mod għall-attakkanti.
Kif tgħin PHP SOS b'mod konkret?
- Nistabbilixxu l-PHP tal-web u tas-CLI tas-server OXID tagħkom u nikkonfermaw il-patch u r-restart.
- Insalvaw il-logs mill-20/10/2026, il-fajls u d-database.
- Niċċekkjaw
config.inc.php, il-moduli, it-themes, it-templates ikkompilati u l-kontijiet tal-admin. - F'każ ta' suspett, permezz tal-incident response tagħna nikkoordinaw it-tindif u t-tiġdid tal-aċċessi tal-interfaces mal-aġenzija tagħkom u mal-fornituri tal-ERP tagħkom.
Mistoqsijiet frekwenti
OXID eShop huwa affettwat minn PHP2Shell?
PHP2Shell mhuwiex vulnerabbiltà ta' OXID, imma vulnerabbiltà f'PHP. Kull ħanut OXID fuq server b'PHP mhux ippatchjat huwa għalhekk potenzjalment vulnerabbli. Aġġornament ta' OXID ma jagħlaqx il-vulnerabbiltà.
Fejn nara l-verżjoni ta' PHP f'OXID?
Fiż-żona tal-admin taħt Service > System info, hemmhekk jintwerew l-indikazzjonijiet ta' PHP tal-ħanut li qed jaħdem. Jekk backport huwiex installat ma tagħrfuhx minn hemm; dan jikkonfermah il-hoster jew l-operatur tagħkom.
Liema fajl ta' OXID fih l-aċċessi?
Il-fajl config.inc.php fid-direttorju source. Fih l-aċċess tad-database. Wara suspett għandkom tibdlu l-password tad-database u tivverifikaw il-fajl għal kodiċi miżjud.
Irridu nivverifikaw l-interface tal-ERP tagħna?
Iva. Jekk attakkant wettaq kodiċi fuq is-server tal-ħanut, jista' jkun qara aċċessi għal ERP, PIM jew servizzi tal-pagament. Dawn l-aċċessi għandhom jiġu mġedda wara suspett.