# Bezpečnosť OXID eShop po PHP2Shell: zabezpečiť obchod a rozhrania > Zabezpečte OXID eShop po PHP2Shell: skontrolujte PHP v administrácii, config.inc.php a moduly, chráňte admin účty a rozhrania B2B. Zdroj: https://phpsos.de/sk/plattformen/oxid-eshop/ Stav: 25.10.2026 Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6 **Stručne:** Pri bezpečnosti OXID eShop ide po PHP2Shell najprv o server: zraniteľnosť je v PHP, nie v OXID. Nechajte si potvrdiť stav PHP a reštartovať všetky procesy. Potom skontrolujte `config.inc.php`, moduly, súbory témy, admin účty a prístupy k ERP a platobným službám. ## Prečo by sa mali obchody OXID pozrieť dôkladnejšie OXID eShop je v nemecky hovoriacom priestore rozšírený predovšetkým v B2B obchode, u výrobcov s priamym predajom a vo veľkoobchode. Takéto obchody málokedy stoja osamote: vymieňajú si objednávky, ceny, stavy zásob a údaje o zákazníkoch s ERP, PIM a platobnými službami. Útočník na serveri obchodu preto často vidí viac než len obchod. Zraniteľnosti PHP CVE-2026-109618 a CVE-2026-109619 podľa tímu PHP umožňujú spustenie škodlivého kódu na diaľku bez prihlásenia. Či je samotný OXID aktuálny, na tom nezáleží. Typické údaje v obchodoch OXID sú: - firemní zákazníci s kontaktnými osobami, adresami, číslami zákazníkov a individuálnymi cenami - história objednávok a dopyty po ponukách - prístupové údaje k ERP, platobným a prepravným službám v konfigurácii a nastaveniach modulov - účty zamestnancov v administrátorskej oblasti ## Bezpečnosť OXID eShop: správne skontrolovať stav PHP V administrátorskej oblasti zobrazuje **Service > Systeminfo** údaje o PHP bežiaceho obchodu. Je to webová verzia, ktorou sa obsluhujú zákazníci. Konzola OXID, importy a cron úlohy však často bežia s PHP z príkazového riadku, ktoré môže byť iná verzia. Obe musia byť záplatované. Opravené upstream verzie sú 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Distribúcie a poskytovatelia hostingu dodávajú opravy čiastočne ako backport, číslo potom zostane rovnaké; rozhodujúci je potvrdený stav balíkov. Ktoré verzie PHP vaša verzia OXID podporuje, skontrolujte podľa systémových požiadaviek v dokumentácii výrobcu na oxid-esales.com. Staršie obchody OXID generácie 4 alebo skoré verzie generácie 6 často stále bežia na starých verziách PHP bez oficiálnych aktualizácií. Potom je do upgradu potrebná prechodná ochrana a pevný časový plán. ## Adresáre a súbory v OXID Od OXID 6 sa obchod inštaluje cez Composer; koreňom dokumentov je spravidla adresár `source/`. | Miesto | Obsah | Bod kontroly | |---|---|---| | `source/config.inc.php` | Prístup k databáze, základné nastavenia | Vložený kód, pri podozrení zmeniť heslo | | `source/modules/` (do OXID 6), od OXID 7 `vendor/` | Moduly, čiastočne z balíkov Composeru | Neznáme moduly, zmenené súbory | | `var/configuration/` | Konfigurácia modulov a obchodu ako súbory | Neočakávané zmeny | | `source/out/` | Témy, obrázky, JavaScript | Cudzie skripty, súbory PHP v priečinkoch s obrázkami | | `source/tmp/` | Skompilované šablóny a cache | Po vyčistení vyprázdniť | | `source/log/` | Protokol obchodu | Pred zmenami zálohovať | Skompilované šablóny v adresári `tmp` sa často prehliadajú. Pozostávajú z kódu PHP a po vyčistení sa vytvárajú znovu; adresár by sa preto mal po každom náleze vyprázdniť. Neškodné prvé kontroly: ```bash # Súbory PHP v priečinkoch s obrázkami a médiami find source/out -type f -name "*.php" # Súbory modulov zmenené od 17. 10. 2026 (OXID 6; od OXID 7 sú moduly vo vendor/) find source/modules -type f -newermt "2026-10-17" # Známe zraniteľnosti v závislostiach composer audit ``` > **Dôležité:** > Vyčistený server obchodu nespraví uniknuté prístupy rozhraní opäť tajnými. Pri podozrení obnovte prístupové údaje k ERP, platobným a prepravným službám v dohode s ich prevádzkovateľmi. ## Administrátorská oblasť a moduly Administrátorská oblasť je štandardne pod `/admin/`. Skontrolujte správu používateľov na účty s právami admina, ktoré nikto nevie priradiť, a na prístupy bývalých dodávateľov. Prístup do administrácie, ak je to možné, obmedzte na firemnú sieť alebo VPN; v B2B prostredí je to väčšinou dobre realizovateľné. Moduly pre platobné metódy, napojenie na ERP, funkcie B2B, ako sú cenové hladiny alebo schvaľovacie procesy, sú v obchodoch OXID často individuálne upravené. Každý modul je vlastný kód PHP a upravené moduly často brzdia aktualizácie PHP. Zaznamenajte si, ktoré moduly sú aktívne, kto ich udržiava a či existuje verzia pre cieľovú verziu PHP. ## Čo aktualizácia OXID dokáže a čo nie Aktualizácia OXID alebo modulu uzatvára známe chyby v tomto kóde a môže umožniť novšie verzie PHP. PHP nezáplatuje a nereštartuje ani PHP-FPM, ani procesy na pozadí. Cudzie súbory v `source/out`, zmanipulované moduly, skompilované šablóny a nové admin účty zostávajú. Či existujú známky útoku, skontrolujte pomocou stránky [Som už kompromitovaný?](https://phpsos.de/sk/php2shell/bin-ich-gehackt-anzeichen/). K situácii v stredných firmách sa hodí [IT bezpečnosť pre stredné podniky a priemysel](https://phpsos.de/sk/branchen/mittelstand-industrie/). Mnohé obchody OXID majú popri ostrom systéme aj staging prostredie na tom istom alebo na druhom serveri. Skontrolujte a záplatujte aj toto prostredie, pretože často obsahuje kópiu údajov zákazníkov a pre útočníkov je rovnako užitočné. ## Ako konkrétne pomáha PHP SOS? - Zisťujeme webové a CLI PHP vášho servera OXID a necháme si potvrdiť záplatu a reštart. - Zálohujeme logy od 20. 10. 2026, súbory a databázu. - Kontrolujeme `config.inc.php`, moduly, témy, skompilované šablóny a admin účty. - Pri podozrení koordinujeme cez našu [Incident Response](https://phpsos.de/sk/leistungen/incident-response/) čistenie a obnovu prístupov rozhraní s vašou agentúrou a dodávateľmi ERP. ## Časté otázky **Týka sa PHP2Shell OXID eShop?** PHP2Shell nie je zraniteľnosť OXID, ale zraniteľnosť v PHP. Každý obchod OXID na nezáplatovanom serveri s PHP je preto potenciálne napadnuteľný. Aktualizácia OXID zraniteľnosť neuzatvorí. **Kde v OXID vidím verziu PHP?** V administrátorskej oblasti pod Service > Systeminfo, kde sa zobrazujú údaje o PHP bežiaceho obchodu. Či je nasadený backport, z toho nepoznáte; potvrdí to váš poskytovateľ hostingu alebo prevádzkovateľ. **Ktorý súbor OXID obsahuje prístupové údaje?** Súbor config.inc.php v adresári source. Obsahuje prístup k databáze. Pri podozrení by ste mali zmeniť heslo databázy a skontrolovať súbor na vložený kód. **Musíme skontrolovať naše rozhranie ERP?** Áno. Ak útočník vykonal kód na serveri obchodu, mohol prečítať prístupové údaje k ERP, PIM alebo platobným službám. Tieto prístupy by sa mali pri podozrení obnoviť. ## Zdroje - [php.net: bezpečnostné hlásenia](https://www.php.net/) - [OXID eSales](https://www.oxid-esales.com/) - [Podporované verzie PHP](https://www.php.net/supported-versions.php) - [BSI (nemecký Spolkový úrad pre informačnú bezpečnosť)](https://www.bsi.bund.de/)