Накратко: Версията на PHP при Shopware 5 е след PHP2Shell най-важният въпрос. Много от тези магазини работят на PHP 8.1 или по-стара, а за нея проектът PHP вече не предоставя официални актуализации. Затова Ви трябват потвърден backport или преходна защита и твърд план за прехода.
Защо магазините на Shopware 5 трябва да се разгледат особено внимателно
PHP2Shell обхваща две критични уязвимости в PHP, CVE-2026-109618 и CVE-2026-109619. Според специализираната преса са засегнати почти всички версии чак до PHP 5.4. Официални корекции има само за PHP 8.2 до 8.5, а за 7.4, 8.0 и 8.1 само минимални backport корекции в изходния код.
Shopware 5 е предишното поколение на Shopware 6. Особено разрасналите се магазини с много индивидуални плъгини са останали там, често на версията на PHP, която е била актуална при последната голяма преработка. Дали Вашата конкретна версия на Shopware 5 още получава актуализации за сигурност от производителя, проверете на shopware.com. Какво важи за старите версии на PHP, обобщава страницата PHP 8.1 и по-стари.
Проверка на версията на PHP при Shopware 5 в бекенда и на сървъра
В бекенда на Shopware 5 Настройки > Системна информация показва сървърната среда, включително версията на PHP, и проверява изискванията. Това е версията, с която работи бекендът. Дали Вашият хостинг доставчик е внесъл backport, там не се вижда; номерът може да остане същият, макар да е пачнато.
| Състояние на PHP | Положение при PHP2Shell | Следваща стъпка |
|---|---|---|
| 8.2 до 8.5 | Има официална корекция | Актуализация, рестартиране, доказателство |
| 7.4, 8.0, 8.1 | Само минимални backport корекции в изходния код | Поискайте потвърждение за backport, планирайте прехода |
| 7.3 и по-стари | Няма корекция от проекта PHP | Незабавна преходна защита, ускоряване на прехода |
Кои версии на PHP понасят Вашата версия на Shopware 5 и Вашите плъгини, установете според системните изисквания на производителя и чрез тест в копие на магазина.
Къде в Shopware 5 обича да лежи злонамереният код
- config.php в главната директория: достъпът до базата данни в открит вид.
- custom/plugins/ и engine/Shopware/Plugins/Community/ както и Local/: по-нови и по-стари места за плъгини, често със собствени разработки без поддръжка.
- themes/Frontend/: шаблони и JavaScript на собствената тема, предпочитано място за скимъри при плащането.
- web/cache/: компилирани файлове на темата, които след манипулация се доставят на всеки посетител.
- media/ и files/: изображения, файлове за изтегляне и документи, не PHP файлове.
- var/log/: протоколи, които трябва да запазите преди каквато и да е промяна.
Безопасна проверка за PHP файлове на места, където не им е мястото:
find media files web/cache -type f -name "*.php"
find themes custom -name "*.php" -newermt "2026-10-17"
Бекендът е на /backend. Проверете там управлението на потребителите за непознати акаунти и ако е възможно, ограничете достъпа до познати мрежи. Заслужава поглед и мениджърът на плъгини: непознати или наскоро инсталирани плъгини, които никой не е поръчвал, са ясен предупредителен знак.
При старите магазини има и практически проблем. Често никой вече не знае точно кои плъгини са адаптирани индивидуално, а първоначалната агенция не е достъпна. Сравнението с оригиналните пакети на производителите на плъгини е тогава единственият надежден начин да се разпознаят промени. Документирайте при тази възможност веднага и кои плъгини магазинът наистина ползва; това помага по-късно при прехода.
Ако Вашият магазин на Shopware 5 работи на PHP 8.1 или по-стара и хостинг доставчикът не може да потвърди backport, приложете незабавно преходните мерки на php.net. BSI (Федерална служба за информационна сигурност на Германия) препоръчва уеб сървърите временно да се изключат от мрежата, ако актуализация не е възможна веднага.
Преходна защита до прехода
Докато PHP бъде актуализиран или магазинът преместен, мерките на php.net намаляват риска, без да осигуряват пълна защита. Те принадлежат в конфигурацията на сървъра, не в .user.ini:
; задайте в FPM пула като php_admin_value респ. php_admin_flag
memory_limit = -1
post_max_size = 32M
upload_max_filesize = 16M
session.upload_progress.enabled = 0
След това рестартирайте всички PHP процеси. Филтър пред уебсайта може да помогне допълнително; подробности има на страницата Незабавни мерки без пач.
Какво постига актуализацията на Shopware 5 и какво не
Актуализация в рамките на Shopware 5 може да затвори известни грешки в магазина и понякога да позволи по-нови версии на PHP. Тя не пачва PHP, не премахва чужди файлове и не доказва, че магазинът е чист. Преминаването към Shopware 6 е проект с пренос на данни, нова тема и нови плъгини. Как структурираме такива преходи, описва PHP 8.1 и по-стари: миграция.
Запишете резултата писмено: състояние на PHP, потвърждение за backport и дата на рестартирането. Тази документация Ви трябва при запитвания от застрахователя, платежния доставчик или длъжностното лице по защита на данните.
Как помага PHP SOS конкретно?
- Установяваме версията на PHP, състоянието на пакета и положението с backport-ове на Вашия сървър на Shopware 5.
- Прилагаме преходна защита в конфигурацията на сървъра и рестартираме всички процеси.
- Проверяваме плъгините, темата, кеша и потребителите за следи от атака.
- Съставяме с Вас план: надграждане на PHP при Shopware 5 като междинна стъпка или директен преход.
Често задавани въпроси
Каква версия на PHP е нужна на Shopware 5?
Зависи от точната версия на Shopware 5. Проверете системните изисквания в документацията на shopware.com за Вашата инсталирана версия. Решаващо за PHP2Shell е дали Вашата версия на PHP още получава актуализации за сигурност.
Мога ли просто да превключа Shopware 5 на PHP 8.3?
Само ако Вашата версия на Shopware и всички плъгини поддържат тази версия на PHP. Иначе има риск от грешки при плащането или в бекенда. Тествайте смяната в копие на магазина, преди да я пуснете на живо.
Преходът към Shopware 6 само актуализация ли е?
Не. Shopware 6 е нова платформа с друга технология, други плъгини и друга система за теми. Данните могат да се пренесат, но плъгините и дизайнът трябва да се изработят наново.
Какво да правя, ако преходът отнеме месеци?
Дотогава магазинът се нуждае от пачнат PHP чрез дистрибуцията или хостинг доставчика, от преходните мерки на php.net и при нужда от филтър пред уебсайта. Това намалява риска, но не заменя прехода.