Kort sagt: Shopware 5 PHP-versionen er efter PHP2Shell det vigtigste spørgsmål. Mange af disse shops kører på PHP 8.1 eller ældre, og dér findes der ikke længere officielle opdateringer fra PHP-projektet. I har derfor brug for en bekræftet backport eller midlertidig beskyttelse og en fast plan for skiftet.
Hvorfor Shopware 5-shops skal undersøges særligt nøje
PHP2Shell omfatter to kritiske sårbarheder i PHP, CVE-2026-109618 og CVE-2026-109619. Ifølge fagpressen er næsten alle versioner helt tilbage til PHP 5.4 berørt. Officielle rettelser findes kun til PHP 8.2 til 8.5, til 7.4, 8.0 og 8.1 blot minimale kildekode-backports.
Shopware 5 er den foregående generation af Shopware 6. Netop gamle, vokset-til shops med mange individuelle plugins er blevet hængende dér, ofte på den PHP-version, der var aktuel ved den sidste store ombygning. Om jeres konkrete Shopware 5-version stadig modtager sikkerhedsopdateringer fra producenten, kontrollerer I på shopware.com. Hvad der gælder for gamle PHP-versioner, opsummerer PHP 8.1 og ældre.
Kontrollér Shopware 5 PHP-versionen i backend og på serveren
I Shopware 5-backend viser Indstillinger > Systeminfo servermiljøet inklusive PHP-version og kontrollerer kravene. Det er den version, som backend kører med. Om jeres hostingudbyder har indspillet en backport, kan I ikke se dér; nummeret kan forblive det samme, selv om der er patchet.
| PHP-status | Situation ved PHP2Shell | Næste skridt |
|---|---|---|
| 8.2 til 8.5 | Officiel rettelse findes | Opdatering, genstart, dokumentation |
| 7.4, 8.0, 8.1 | Kun minimale kildekode-backports | Få backporten bekræftet, planlæg skifte |
| 7.3 og ældre | Ingen rettelse fra PHP-projektet | Midlertidig beskyttelse med det samme, fremskynd skiftet |
Hvilke PHP-versioner jeres Shopware 5-version og jeres plugins tåler, finder I ud af ifølge producentens systemkrav og ved en test i en kopi af shoppen.
Hvor skadelig kode gerne ligger i Shopware 5
- config.php i hovedmappen: databaseadgang i klartekst.
- custom/plugins/ og engine/Shopware/Plugins/Community/ samt Local/: nyere og ældre plugin-steder, ofte med egenudviklinger uden vedligeholdelse.
- themes/Frontend/: skabeloner og JavaScript i det egne tema, populært til skimmere i checkout.
- web/cache/: kompilerede tema-filer, som efter manipulation leveres til hver besøgende.
- media/ og files/: billeder, downloads og dokumenter, ingen PHP-filer.
- var/log/: logfiler, som I bør sikre før enhver ændring.
Ufarlig kontrol af PHP-filer på steder, hvor der ikke hører nogen hjemme:
find media files web/cache -type f -name "*.php"
find themes custom -name "*.php" -newermt "2026-10-17"
Backend ligger under /backend. Kontrollér dér brugeradministrationen for ukendte konti, og begræns om muligt adgangen til kendte netværk. Også plugin-manageren fortjener et blik: Ukendte eller nyligt installerede plugins, som ingen har bestilt, er et tydeligt advarselstegn.
Ved gamle shops kommer et praktisk problem til. Ofte ved ingen længere præcist, hvilke plugins der er tilpasset individuelt, og det oprindelige bureau er ikke længere til at få fat i. En sammenligning med plugin-producenternes originalpakker er så den eneste pålidelige vej til at opdage ændringer. Dokumentér ved samme lejlighed, hvilke plugins shoppen virkelig har brug for; det hjælper senere ved skiftet.
Kører jeres Shopware 5-shop på PHP 8.1 eller ældre, og kan jeres hostingudbyder ikke bekræfte en backport, så gennemfør de midlertidige foranstaltninger fra php.net med det samme. BSI (det tyske forbundsagentur for informationssikkerhed) anbefaler at tage webservere midlertidigt af nettet, hvis en opdatering ikke er mulig med det samme.
Midlertidig beskyttelse indtil skiftet
Indtil PHP er opdateret, eller shoppen er flyttet, mindsker foranstaltningerne fra php.net risikoen uden at give fuld beskyttelse. De hører hjemme i serverkonfigurationen, ikke i .user.ini:
; sæt i FPM-poolen som php_admin_value hhv. php_admin_flag
memory_limit = -1
post_max_size = 32M
upload_max_filesize = 16M
session.upload_progress.enabled = 0
Genstart derefter alle PHP-processer. Et forudgående filter kan desuden hjælpe; detaljer står under Akutte foranstaltninger uden patch.
Hvad en Shopware 5-opdatering kan, og hvad den ikke kan
En opdatering inden for Shopware 5 kan lukke kendte fejl i shoppen og gør af og til nyere PHP-versioner mulige. Den patcher ikke PHP, fjerner ikke fremmede filer og beviser ikke, at shoppen er ren. Skiftet til Shopware 6 er et projekt med dataoverførsel, nyt tema og nye plugins. Hvordan vi strukturerer sådanne skift, beskriver PHP 8.1 og ældre: migrering.
Notér resultatet skriftligt: PHP-status, backport-bekræftelse og dato for genstarten. Denne dokumentation har I brug for ved forespørgsler fra forsikring, betalingsudbyder eller databeskyttelsesrådgiver.
Hvordan hjælper PHP SOS konkret?
- Vi fastslår PHP-version, pakkestatus og backport-situation for jeres Shopware 5-server.
- Vi gennemfører midlertidig beskyttelse i serverkonfigurationen og genstarter alle processer.
- Vi kontrollerer plugins, tema, cache og brugere for spor efter et angreb.
- Vi udarbejder sammen med jer en køreplan: PHP-opgradering på Shopware 5 som mellemtrin eller direkte skifte.
Ofte stillede spørgsmål
Hvilken PHP-version kræver Shopware 5?
Det afhænger af den præcise Shopware 5-version. Kontrollér systemkravene i dokumentationen på shopware.com for jeres installerede version. Afgørende for PHP2Shell er, om jeres PHP-version stadig modtager sikkerhedsopdateringer.
Kan jeg bare skifte Shopware 5 til PHP 8.3?
Kun hvis jeres Shopware-version og alle plugins understøtter denne PHP-version. Ellers truer der fejl i checkout eller i backend. Test skiftet i en kopi af shoppen, før I sætter det live.
Er et skifte til Shopware 6 blot en opdatering?
Nej. Shopware 6 er en ny platform med anden teknik, andre plugins og et andet tema-system. Data kan overtages, men plugins og design skal laves på ny.
Hvad gør vi, hvis skiftet tager måneder?
Så har shoppen indtil da brug for et patchet PHP via distribution eller hostingudbyder, de midlertidige foranstaltninger fra php.net og eventuelt et forudgående filter. Det mindsker risikoen, men erstatter ikke skiftet.