Lyhyesti: Shopware 5:n PHP-versio on PHP2Shellin jälkeen tärkein kysymys. Moni tällainen kauppa toimii PHP 8.1:llä tai vanhemmalla, eikä PHP-projekti enää julkaise niille virallisia päivityksiä. Tarvitsette siksi vahvistetun backportin tai väliaikaisen suojauksen ja kiinteän suunnitelman siirtymälle.
Miksi Shopware 5 -kauppojen on syytä tarkistaa tilanne erityisen huolellisesti
PHP2Shell käsittää kaksi kriittistä PHP-haavoittuvuutta, CVE-2026-109618 ja CVE-2026-109619. Ammattilehdistön mukaan lähes kaikki versiot aina PHP 5.4:ään asti ovat haavoittuvia. Viralliset korjaukset on julkaistu vain versioille PHP 8.2–8.5, versioille 7.4, 8.0 ja 8.1 on vain vähäisiä lähdekoodin backporteja.
Shopware 5 on Shopware 6:n edeltäjäsukupolvi. Erityisesti vuosien mittaan kasvaneet kaupat, joissa on paljon räätälöityjä liitännäisiä, ovat jääneet siihen, usein viimeisen suuren uudistuksen aikaiselle PHP-versiolle. Saako teidän Shopware 5 -versionne yhä valmistajan tietoturvapäivityksiä, tarkistatte osoitteesta shopware.com. Vanhoja PHP-versioita koskevat asiat tiivistää sivu PHP 8.1 ja vanhemmat.
Shopware 5:n PHP-version tarkistus hallinnasta ja palvelimelta
Shopware 5:n hallinnassa kohta Asetukset > Järjestelmätiedot näyttää palvelinympäristön PHP-versioineen ja tarkistaa vaatimukset. Se on versio, jolla hallinta toimii. Onko palveluntarjoajanne asentanut backportin, siitä ei näe mitään; numero voi pysyä samana, vaikka korjaus on tehty.
| PHP-tila | Tilanne PHP2Shellin kannalta | Seuraava askel |
|---|---|---|
| 8.2–8.5 | Virallinen korjaus saatavilla | Päivitys, uudelleenkäynnistys, todiste |
| 7.4, 8.0, 8.1 | Vain vähäisiä lähdekoodin backporteja | Pyytäkää backportin vahvistus, suunnitelkaa siirtymä |
| 7.3 ja vanhemmat | PHP-projektilta ei korjausta | Väliaikainen suojaus heti, aikaistakaa siirtymää |
Mitä PHP-versioita Shopware 5 -versionne ja liitännäisenne sietävät, selvitätte valmistajan järjestelmävaatimuksista ja testaamalla kaupan kopiolla.
Missä haittakoodi Shopware 5:ssä mielellään on
- config.php pääkansiossa: tietokantatunnukset selväkielisinä.
- custom/plugins/ sekä engine/Shopware/Plugins/Community/ ja Local/: uudemmat ja vanhemmat liitännäispaikat, joissa on usein ylläpitämättömiä omia kehityksiä.
- themes/Frontend/: oman teeman mallipohjat ja JavaScript, suosittu skimmereiden paikka kassalla.
- web/cache/: käännetyt teematiedostot, jotka muokattuina toimitetaan jokaiselle kävijälle.
- media/ ja files/: kuvat, lataukset ja asiakirjat, ei PHP-tiedostoja.
- var/log/: lokit, jotka kannattaa varmuuskopioida ennen jokaista muutosta.
Vaaraton tarkistus PHP-tiedostoille paikoissa, joihin ne eivät kuulu:
find media files web/cache -type f -name "*.php"
find themes custom -name "*.php" -newermt "2026-10-17"
Hallinta on osoitteessa /backend. Tarkistakaa sieltä käyttäjähallinnasta tuntemattomat tilit ja rajatkaa pääsy mahdollisuuksien mukaan tunnettuihin verkkoihin. Myös liitännäishallinta ansaitsee silmäyksen: tuntemattomat tai äskettäin asennetut liitännäiset, joita kukaan ei ole tilannut, ovat selvä varoitusmerkki.
Vanhoissa kaupoissa on lisäksi käytännön ongelma. Usein kukaan ei enää tiedä tarkasti, mitä liitännäisiä on muokattu yksilöllisesti, eikä alkuperäiseen toimistoon saa yhteyttä. Vertailu liitännäisvalmistajien alkuperäispaketteihin on silloin ainoa luotettava tapa tunnistaa muutokset. Dokumentoikaa samalla, mitä liitännäisiä kauppa todella tarvitsee; se helpottaa myöhemmin siirtymää.
Jos Shopware 5 -kauppanne toimii PHP 8.1:llä tai vanhemmalla eikä palveluntarjoajanne voi vahvistaa backportia, toteuttakaa php.netin väliaikaiset toimenpiteet heti. BSI (Saksan liittovaltion tietoturvavirasto) suosittelee ottamaan verkkopalvelimet tilapäisesti pois verkosta, jos päivitys ei ole heti mahdollinen.
Väliaikainen suojaus siirtymään asti
Kunnes PHP on päivitetty tai kauppa siirretty, php.netin toimenpiteet pienentävät riskiä tarjoamatta täyttä suojaa. Ne kuuluvat palvelimen asetuksiin, ei tiedostoon .user.ini:
; asetetaan FPM-poolissa php_admin_value- tai php_admin_flag-direktiivillä
memory_limit = -1
post_max_size = 32M
upload_max_filesize = 16M
session.upload_progress.enabled = 0
Käynnistäkää sen jälkeen kaikki PHP-prosessit uudelleen. Edelle asetettu suodatin voi auttaa lisäksi; lisätietoja sivulla Pikatoimet ilman korjausta.
Mihin Shopware 5 -päivitys pystyy ja mihin ei
Päivitys Shopware 5:n sisällä voi sulkea kaupan tunnettuja virheitä ja joskus mahdollistaa uudemmat PHP-versiot. Se ei korjaa PHP:tä, ei poista vieraita tiedostoja eikä todista, että kauppa on puhdas. Siirtyminen Shopware 6:een on hanke, johon kuuluvat tietojen siirto, uusi teema ja uudet liitännäiset. Miten tällaiset siirtymät jäsennämme, kuvataan sivulla PHP 8.1 ja vanhemmat: siirtymä.
Kirjatkaa tulos ylös: PHP-tila, backport-vahvistus ja uudelleenkäynnistyksen päivämäärä. Tarvitsette tämän dokumentaation vakuutusyhtiön, maksupalveluntarjoajan tai tietosuojavastaavan kysyessä.
Miten PHP SOS auttaa konkreettisesti?
- Selvitämme Shopware 5 -palvelimenne PHP-version, pakettitilan ja backport-tilanteen.
- Toteutamme väliaikaisen suojauksen palvelimen asetuksissa ja käynnistämme kaikki prosessit uudelleen.
- Tarkistamme liitännäiset, teeman, välimuistin ja käyttäjät hyökkäyksen jälkien varalta.
- Laadimme kanssanne etenemissuunnitelman: PHP-päivitys Shopware 5:ssä välivaiheena tai suora siirtymä.
Usein kysytyt kysymykset
Mitä PHP-versiota Shopware 5 tarvitsee?
Se riippuu tarkasta Shopware 5 -versiosta. Tarkistakaa asentamanne version järjestelmävaatimukset shopware.comin dokumentaatiosta. PHP2Shellin kannalta ratkaisevaa on, saako PHP-versionne vielä tietoturvapäivityksiä.
Voinko vain vaihtaa Shopware 5:n PHP 8.3:een?
Vain jos Shopware-versionne ja kaikki liitännäiset tukevat tätä PHP-versiota. Muuten kassaan tai hallintaan voi tulla virheitä. Testatkaa vaihto kaupan kopiolla, ennen kuin otatte sen tuotantoon.
Onko siirtyminen Shopware 6:een pelkkä päivitys?
Ei. Shopware 6 on uusi alusta, jonka tekniikka, liitännäiset ja teemajärjestelmä ovat erilaiset. Tiedot voi siirtää, mutta liitännäiset ja ulkoasu täytyy toteuttaa uudelleen.
Mitä tehdä, jos siirtymä kestää kuukausia?
Silloin kauppa tarvitsee siihen asti korjatun PHP:n jakelun tai hosting-yrityksen kautta, php.netin väliaikaiset toimenpiteet ja tarvittaessa edelle asetetun suodattimen. Se pienentää riskiä, mutta ei korvaa siirtymää.