Na kratko: Pri varnosti OXID eShop gre po PHP2Shell najprej za strežnik: ranljivost je v PHP, ne v OXID. Dajte si potrditi stanje PHP in znova zagnati vse procese. Nato preglejte config.inc.php, module, datoteke teme, skrbniške račune in dostope do ERP in plačilnih storitev.
Zakaj naj trgovine OXID pogledajo natančno
OXID eShop je v nemško govorečem prostoru razširjen predvsem v B2B-trgovini, pri proizvajalcih z neposredno prodajo in v veleprodaji. Takšne trgovine redko stojijo same zase: z ERP, PIM in plačilnimi storitvami izmenjujejo naročila, cene, zaloge in podatke kupcev. Napadalec na strežniku trgovine zato pogosto vidi več kot samo trgovino.
Ranljivosti PHP CVE-2026-109618 in CVE-2026-109619 po navedbah ekipe PHP omogočata izvajanje škodljive kode na daljavo brez prijave. Ali je OXID sam aktualen, pri tem ni pomembno. Tipični podatki v trgovinah OXID so:
- podjetja kot kupci s kontaktnimi osebami, naslovi, številkami kupcev in individualnimi cenami
- zgodovina naročil in povpraševanja za ponudbe
- dostopni podatki za ERP, plačilne in dostavne storitve v konfiguraciji in nastavitvah modulov
- računi sodelavcev v skrbniškem območju
Varnost OXID eShop: pravilno preverite stanje PHP
V skrbniškem območju Service > Systeminfo prikaže podatke PHP tekoče trgovine. To je različica za splet, s katero se strežejo kupci. Konzola OXID, uvozi in cron opravila pa pogosto tečejo s PHP v ukazni vrstici, ki je lahko druga različica. Obe morata biti popravljeni.
Odpravljene različice izvorne kode so 8.5.12, 8.4.27, 8.3.36 in 8.2.35. Distribucije in ponudniki gostovanja popravke deloma dostavljajo kot backport, številka potem ostane enaka; odločilno je potrjeno stanje paketa. Katere različice PHP podpira vaša različica OXID, preverite v sistemskih zahtevah v dokumentaciji proizvajalca na oxid-esales.com.
Starejše trgovine OXID generacije 4 ali zgodnje različice generacije 6 pogosto še tečejo na starih različicah PHP brez uradnih posodobitev. Takrat do nadgradnje potrebujete vmesno zaščito in trden časovni načrt.
Mape in datoteke v OXID
Od OXID 6 se trgovina namešča prek Composerja; korenska mapa dokumentov je praviloma mapa source/.
| Mesto | Vsebina | Točka preverjanja |
|---|---|---|
source/config.inc.php |
Dostop do podatkovne zbirke, osnovne nastavitve | Vstavljena koda, ob sumu spremeniti geslo |
source/modules/ (do OXID 6), od OXID 7 vendor/ |
Moduli, deloma iz paketov Composer | Neznani moduli, spremenjene datoteke |
var/configuration/ |
Konfiguracija modulov in trgovine kot datoteke | Nepričakovane spremembe |
source/out/ |
Teme, slike, JavaScript | Tuji skripti, datoteke PHP v mapah s slikami |
source/tmp/ |
Prevedene predloge in predpomnilnik | Po čiščenju izprazniti |
source/log/ |
Dnevnik trgovine | Zavarovati pred spremembami |
Prevedene predloge v mapi tmp se pogosto spregledajo. Sestavljene so iz kode PHP in se po čiščenju ustvarijo znova; zato je treba mapo po vsaki najdbi izprazniti.
Neškodljivi prvi pregledi:
# Datoteke PHP v mapah s slikami in mediji
find source/out -type f -name "*.php"
# Datoteke modulov, spremenjene od 17. 10. 2026 (OXID 6; od OXID 7 so moduli v vendor/)
find source/modules -type f -newermt "2026-10-17"
# Znane ranljivosti v odvisnostih
composer audit
Očiščen strežnik trgovine ne naredi iztekle dostope do vmesnikov spet skrivnih. Ob sumu obnovite dostopne podatke za ERP, plačilne in dostavne storitve, v dogovoru z njihovimi upravljavci.
Skrbniško območje in moduli
Skrbniško območje je privzeto pod /admin/. V upravljanju uporabnikov preverite račune s skrbniškimi pravicami, ki jih nihče ne zna pripisati, in dostope nekdanjih izvajalcev. Dostop do skrbniškega dela po možnosti omejite na omrežje podjetja ali VPN; v okolju B2B je to praviloma dobro izvedljivo.
Moduli za načine plačila, povezavo z ERP, funkcije B2B, kot so količinski popusti ali postopki odobritve, so v trgovinah OXID pogosto individualno prilagojeni. Vsak modul je lastna koda PHP, prilagojeni moduli pa pogosto zavirajo nadgradnje PHP. Zapišite, kateri moduli so aktivni, kdo jih vzdržuje in ali obstaja različica za ciljno različico PHP.
Kaj posodobitev OXID zmore in česa ne
Posodobitev OXID ali modula zapre znane napake v tej kodi in lahko omogoči novejše različice PHP. PHP ne popravi in ne zažene znova ne PHP-FPM ne procesov v ozadju. Tuje datoteke v source/out, manipulirani moduli, prevedene predloge in novi skrbniški računi ostanejo. Ali obstajajo znaki napada, preverite s prispevkom Ali smo že ogroženi?. K položaju srednje velikih podjetij ustreza prispevek IT-varnost za srednja podjetja in industrijo.
Številne trgovine OXID imajo poleg živega sistema še testno okolje (staging) na istem ali drugem strežniku. Tudi tega preverite in popravite, saj pogosto vsebuje kopijo podatkov kupcev in je za napadalce enako uporabno.
Kako PHP SOS pomaga konkretno?
- Ugotovimo PHP za splet in CLI na vašem strežniku OXID ter dosežemo potrditev popravka in ponovnega zagona.
- Dnevnike od 20. 10. 2026, datoteke in podatkovno zbirko zavarujemo.
- Preverimo
config.inc.php, module, teme, prevedene predloge in skrbniške račune. - Ob sumu prek naše službe Incident Response koordiniramo čiščenje in obnovo dostopov do vmesnikov z vašo agencijo in izvajalci ERP.
Pogosta vprašanja
Ali je OXID eShop prizadet zaradi PHP2Shell?
PHP2Shell ni ranljivost OXID, ampak ranljivost v PHP. Vsaka trgovina OXID na nepopravljenem strežniku PHP je zato potencialno ranljiva. Posodobitev OXID ranljivosti ne zapre.
Kje v OXID vidim različico PHP?
V skrbniškem območju pod Service > Systeminfo, kjer so prikazani podatki PHP tekoče trgovine. Ali je nameščen backport, iz tega ne razberete; to potrdi vaš ponudnik gostovanja ali upravljavec.
Katera datoteka OXID vsebuje dostopne podatke?
Datoteka config.inc.php v mapi source. Vsebuje dostop do podatkovne zbirke. Ob sumu spremenite geslo podatkovne zbirke in preverite datoteko glede vstavljene kode.
Ali moramo preveriti svoj vmesnik ERP?
Da. Če je napadalec izvedel kodo na strežniku trgovine, je lahko prebral dostopne podatke za ERP, PIM ali plačilne storitve. Te dostope je treba ob sumu obnoviti.