En resumen: tras PHP2Shell, la versión de PHP de Shopware 5 es la cuestión más importante. Muchas de estas tiendas funcionan con PHP 8.1 o anterior, y el proyecto PHP ya no ofrece actualizaciones oficiales para ellas. Por eso necesita un backport confirmado o una protección transitoria, y un plan firme para la migración.
Por qué las tiendas Shopware 5 requieren especial atención
PHP2Shell comprende dos vulnerabilidades críticas de PHP, CVE-2026-109618 y CVE-2026-109619. Según la prensa especializada, están afectadas casi todas las versiones hasta PHP 5.4. Solo hay correcciones oficiales para PHP 8.2 a 8.5; para 7.4, 8.0 y 8.1 únicamente existen backports mínimos del código fuente.
Shopware 5 es la generación anterior a Shopware 6. Precisamente las tiendas con años de historia y muchos plugins a medida se quedaron en ella, a menudo con la versión de PHP vigente en la última gran reforma. Si su versión concreta de Shopware 5 sigue recibiendo actualizaciones de seguridad del fabricante, compruébelo en shopware.com. Lo que vale para las versiones antiguas de PHP se resume en PHP 8.1 y anteriores.
Comprobar la versión de PHP de Shopware 5 en el backend y en el servidor
En el backend de Shopware 5, Ajustes > Información del sistema muestra el entorno del servidor, incluida la versión de PHP, y comprueba los requisitos. Esa es la versión con la que se ejecuta el backend. Allí no se ve si su proveedor de hosting ha aplicado un backport; el número puede seguir igual aunque esté parcheado.
| Estado de PHP | Situación frente a PHP2Shell | Siguiente paso |
|---|---|---|
| 8.2 a 8.5 | Hay corrección oficial | Actualizar, reiniciar, justificante |
| 7.4, 8.0, 8.1 | Solo backports mínimos del código fuente | Hacer confirmar el backport, planificar la migración |
| 7.3 y anteriores | Sin corrección del proyecto PHP | Protección transitoria de inmediato, adelantar la migración |
Qué versiones de PHP admiten su versión de Shopware 5 y sus plugins lo averigua, según los requisitos del sistema del fabricante, y mediante una prueba en una copia de la tienda.
Dónde suele esconderse el código malicioso en Shopware 5
- config.php en el directorio principal: acceso a la base de datos en texto plano.
- custom/plugins/ y engine/Shopware/Plugins/Community/ y Local/: ubicaciones de plugins más nuevas y más antiguas, a menudo con desarrollos propios sin mantenimiento.
- themes/Frontend/: plantillas y JavaScript del tema propio, un lugar preferido para skimmers en el checkout.
- web/cache/: archivos de tema compilados que, una vez manipulados, se entregan a cada visitante.
- media/ y files/: imágenes, descargas y documentos, no archivos PHP.
- var/log/: registros que debería guardar antes de cualquier cambio.
Comprobación inofensiva de archivos PHP en lugares donde no deberían estar:
find media files web/cache -type f -name "*.php"
find themes custom -name "*.php" -newermt "2026-10-17"
El backend está en /backend. Revise allí la gestión de usuarios en busca de cuentas desconocidas y, si es posible, restrinja el acceso a redes conocidas. También merece una mirada el gestor de plugins: los plugins desconocidos o instalados recientemente que nadie ha encargado son una clara señal de alerta.
En las tiendas antiguas se añade un problema práctico. Con frecuencia nadie sabe ya con exactitud qué plugins se adaptaron a medida, y la agencia original ya no es localizable. Entonces, comparar con los paquetes originales de los fabricantes de los plugins es la única forma fiable de detectar cambios. Aproveche para documentar también qué plugins necesita realmente la tienda; eso ayudará más adelante en la migración.
Si su tienda Shopware 5 funciona con PHP 8.1 o anterior y su proveedor de hosting no puede confirmar un backport, aplique de inmediato las medidas transitorias de php.net. El BSI (Oficina Federal alemana para la Seguridad de la Información) recomienda desconectar temporalmente de la red los servidores web cuando una actualización no es posible de inmediato.
Protección transitoria hasta la migración
Hasta que PHP se actualice o la tienda se traslade, las medidas de php.net reducen el riesgo sin ofrecer una protección completa. Corresponden a la configuración del servidor, no a .user.ini:
; establecer en el pool de FPM como php_admin_value o php_admin_flag
memory_limit = -1
post_max_size = 32M
upload_max_filesize = 16M
session.upload_progress.enabled = 0
Después, reinicie todos los procesos de PHP. Un filtro situado delante puede ayudar además; encontrará los detalles en Medidas inmediatas sin parche.
Lo que logra una actualización de Shopware 5 y lo que no
Una actualización dentro de Shopware 5 puede cerrar errores conocidos de la tienda y, a veces, permitir versiones más recientes de PHP. No parchea PHP, no elimina archivos ajenos y no demuestra que la tienda esté limpia. El cambio a Shopware 6 es un proyecto con traslado de datos, un tema nuevo y plugins nuevos. Cómo estructuramos estos cambios se describe en PHP 8.1 y anteriores: migración.
Deje constancia por escrito del resultado: estado de PHP, confirmación del backport y fecha del reinicio. Necesitará esta documentación ante consultas del seguro, del proveedor de pago o del delegado de protección de datos.
¿Cómo ayuda PHP SOS en concreto?
- Determinamos la versión de PHP, el estado de los paquetes y la situación de los backports de su servidor Shopware 5.
- Aplicamos una protección transitoria en la configuración del servidor y reiniciamos todos los procesos.
- Revisamos plugins, tema, caché y usuarios en busca de rastros de un ataque.
- Elaboramos con usted una hoja de ruta: actualización de PHP en Shopware 5 como paso intermedio o migración directa.
Preguntas frecuentes
¿Qué versión de PHP necesita Shopware 5?
Depende de la versión exacta de Shopware 5. Consulte los requisitos del sistema en la documentación de shopware.com para su versión instalada. Para PHP2Shell lo decisivo es si su versión de PHP sigue recibiendo actualizaciones de seguridad.
¿Puedo pasar Shopware 5 sin más a PHP 8.3?
Solo si su versión de Shopware y todos los plugins admiten esa versión de PHP. De lo contrario, hay riesgo de errores en el checkout o en el backend. Pruebe el cambio en una copia de la tienda antes de ponerlo en producción.
¿Migrar a Shopware 6 es solo una actualización?
No. Shopware 6 es una plataforma nueva, con otra tecnología, otros plugins y otro sistema de temas. Los datos se pueden trasladar, pero los plugins y el diseño hay que volver a implementarlos.
¿Qué hacer si la migración tarda meses?
Entonces la tienda necesita, hasta entonces, un PHP parcheado a través de la distribución o del proveedor de hosting, las medidas transitorias de php.net y, en su caso, un filtro situado delante. Esto reduce el riesgo, pero no sustituye a la migración.