Stručně: Verze PHP u Shopware 5 je po PHP2Shell nejdůležitější otázkou. Mnoho těchto e-shopů běží na PHP 8.1 nebo starším a pro ně už projekt PHP nevydává oficiální aktualizace. Potřebujete proto potvrzený backport nebo přechodnou ochranu a pevný plán přechodu.
Proč si majitelé e-shopů na Shopware 5 musí dávat obzvlášť pozor
PHP2Shell zahrnuje dvě kritické zranitelnosti v PHP, CVE-2026-109618 a CVE-2026-109619. Podle odborného tisku jsou postiženy téměř všechny verze zpět až po PHP 5.4. Oficiální opravy existují jen pro PHP 8.2 až 8.5, pro 7.4, 8.0 a 8.1 pouze minimální zdrojové backporty.
Shopware 5 je předchozí generace Shopware 6. Zejména vyrostlé e-shopy s mnoha individuálními pluginy tam zůstaly, často na verzi PHP, která byla aktuální při poslední velké přestavbě. Zda vaše konkrétní verze Shopware 5 ještě dostává bezpečnostní aktualizace od výrobce, ověřte na shopware.com. Co platí pro staré verze PHP, shrnuje článek PHP 8.1 a starší.
Kontrola verze PHP u Shopware 5 v backendu a na serveru
V backendu Shopware 5 zobrazuje Nastavení > Systémové informace prostředí serveru včetně verze PHP a kontroluje požadavky. To je verze, se kterou běží backend. Zda poskytovatel hostingu nasadil backport, tam neuvidíte; číslo může zůstat stejné, i když je záplatováno.
| Stav PHP | Situace u PHP2Shell | Další krok |
|---|---|---|
| 8.2 až 8.5 | Oficiální oprava existuje | Aktualizace, restart, doklad |
| 7.4, 8.0, 8.1 | Jen minimální zdrojové backporty | Nechat potvrdit backport, naplánovat přechod |
| 7.3 a starší | Žádná oprava od projektu PHP | Ihned přechodná ochrana, přechod urychlit |
Které verze PHP vaše verze Shopware 5 a vaše pluginy snesou, zjistíte podle systémových požadavků výrobce a testem na kopii e-shopu.
Kde se škodlivý kód v Shopware 5 rád ukrývá
- config.php v hlavním adresáři: přístup k databázi v čitelné podobě.
- custom/plugins/ a engine/Shopware/Plugins/Community/ i Local/: novější a starší umístění pluginů, často s vlastním vývojem bez údržby.
- themes/Frontend/: šablony a JavaScript vlastního motivu, oblíbené pro skimmery v pokladně.
- web/cache/: zkompilované soubory motivu, které se po zmanipulování doručují každému návštěvníkovi.
- media/ a files/: obrázky, soubory ke stažení a dokumenty, žádné soubory PHP.
- var/log/: protokoly, které byste měli před každou změnou zálohovat.
Neškodná kontrola souborů PHP na místech, kam nepatří:
find media files web/cache -type f -name "*.php"
find themes custom -name "*.php" -newermt "2026-10-17"
Backend leží na adrese /backend. Zkontrolujte tam správu uživatelů, zda neobsahuje neznámé účty, a přístup pokud možno omezte na známé sítě. Pozornost si zaslouží i správce pluginů: neznámé nebo nedávno nainstalované pluginy, které nikdo neobjednal, jsou zřetelným varovným signálem.
U starých e-shopů přistupuje praktický problém. Často už nikdo přesně neví, které pluginy byly individuálně upraveny, a původní agentura není k zastižení. Porovnání s originálními balíčky výrobců pluginů je pak jedinou spolehlivou cestou, jak změny rozpoznat. Při této příležitosti si rovnou zdokumentujte, které pluginy e-shop skutečně potřebuje; pomůže vám to při pozdějším přechodu.
Pokud váš e-shop na Shopware 5 běží na PHP 8.1 nebo starším a poskytovatel hostingu nedokáže potvrdit backport, ihned zaveďte přechodná opatření z php.net. BSI (německý spolkový úřad pro informační bezpečnost) doporučuje webové servery dočasně odpojit od sítě, pokud aktualizace není okamžitě možná.
Přechodná ochrana do přechodu
Dokud se PHP neaktualizuje nebo se e-shop nepřestěhuje, opatření z php.net riziko snižují, aniž by poskytovala úplnou ochranu. Patří do konfigurace serveru, ne do .user.ini:
; nastavit v poolu FPM jako php_admin_value, resp. php_admin_flag
memory_limit = -1
post_max_size = 32M
upload_max_filesize = 16M
session.upload_progress.enabled = 0
Poté restartujte všechny procesy PHP. Navíc může pomoci předřazený filtr; podrobnosti najdete v článku Okamžitá opatření bez záplaty.
Co aktualizace Shopware 5 zvládne a co ne
Aktualizace v rámci Shopware 5 může uzavřít známé chyby v e-shopu a někdy umožní novější verze PHP. Nezáplatuje PHP, neodstraní cizí soubory a neprokazuje, že je e-shop čistý. Přechod na Shopware 6 je projekt s převzetím dat, novým motivem a novými pluginy. Jak takové přechody strukturujeme, popisuje PHP 8.1 a starší: migrace.
Výsledek si zaznamenejte písemně: stav PHP, potvrzení backportu a datum restartu. Tuto dokumentaci budete potřebovat při dotazech pojišťovny, poskytovatele plateb nebo pověřence pro ochranu osobních údajů.
Jak konkrétně pomáhá PHP SOS?
- Zjistíme verzi PHP, stav balíčků a situaci s backporty na vašem serveru se Shopware 5.
- Zavedeme přechodnou ochranu v konfiguraci serveru a restartujeme všechny procesy.
- Zkontrolujeme pluginy, motiv, cache a uživatele, zda nenesou stopy útoku.
- S vámi vypracujeme plán: upgrade PHP u Shopware 5 jako mezikrok, nebo přímý přechod.
Časté dotazy
Jakou verzi PHP potřebuje Shopware 5?
Záleží na přesné verzi Shopware 5. Ověřte systémové požadavky v dokumentaci na shopware.com pro vaši nainstalovanou verzi. Pro PHP2Shell je rozhodující, zda vaše verze PHP ještě dostává bezpečnostní aktualizace.
Mohu Shopware 5 jednoduše přepnout na PHP 8.3?
Jen pokud tuto verzi PHP podporuje vaše verze Shopware a všechny pluginy. Jinak hrozí chyby v pokladně nebo v backendu. Přechod vyzkoušejte na kopii e-shopu, než jej nasadíte naostro.
Je přechod na Shopware 6 jen aktualizace?
Ne. Shopware 6 je nová platforma s jinou technikou, jinými pluginy a jiným systémem motivů. Data lze převzít, ale pluginy a design je nutné vytvořit znovu.
Co dělat, když přechod trvá měsíce?
Pak potřebuje e-shop do té doby záplatované PHP z distribuce nebo od poskytovatele hostingu, přechodná opatření z php.net a případně předřazený filtr. To riziko snižuje, přechod ale nenahrazuje.