En bref : la version de PHP de Shopware 5 est, après PHP2Shell, la question la plus importante. Beaucoup de ces boutiques tournent sur PHP 8.1 ou plus ancien, pour lequel le projet PHP ne publie plus de mises à jour officielles. Il vous faut donc un backport confirmé ou une protection transitoire, ainsi qu'un plan ferme pour la migration.
Pourquoi les boutiques Shopware 5 doivent être examinées de près
PHP2Shell regroupe deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619. Selon la presse spécialisée, presque toutes les versions jusqu'à PHP 5.4 sont concernées. Des correctifs officiels n'existent que pour PHP 8.2 à 8.5 ; pour 7.4, 8.0 et 8.1, il n'y a que des backports minimaux du code source.
Shopware 5 est la génération précédente de Shopware 6. Ce sont surtout les boutiques ayant grandi avec de nombreux plugins spécifiques qui y sont restées, souvent sur la version de PHP qui était à jour lors de la dernière grande refonte. Si votre version précise de Shopware 5 reçoit encore des mises à jour de sécurité du fabricant, vous le vérifiez sur shopware.com. Ce qui vaut pour les anciennes versions de PHP est résumé dans PHP 8.1 et antérieur.
Vérifier la version de PHP de Shopware 5 dans le back-office et sur le serveur
Dans le back-office de Shopware 5, Réglages > Infos système affiche l'environnement serveur, version de PHP comprise, et vérifie la configuration requise. C'est la version avec laquelle le back-office fonctionne. Vous n'y voyez pas si votre hébergeur a appliqué un backport ; le numéro peut rester identique bien que le correctif soit appliqué.
| État de PHP | Situation face à PHP2Shell | Étape suivante |
|---|---|---|
| 8.2 à 8.5 | Correctif officiel disponible | Mise à jour, redémarrage, justificatif |
| 7.4, 8.0, 8.1 | Seulement des backports minimaux du code source | Faire confirmer le backport, planifier la migration |
| 7.3 et antérieur | Aucun correctif du projet PHP | Protection transitoire immédiate, avancer la migration |
Les versions de PHP que supportent votre version de Shopware 5 et vos plugins se déterminent d'après la configuration requise du fabricant et par un test sur une copie de la boutique.
Où le code malveillant se trouve volontiers dans Shopware 5
- config.php à la racine : accès à la base de données en clair.
- custom/plugins/ et engine/Shopware/Plugins/Community/ ainsi que Local/ : emplacements de plugins récents et plus anciens, souvent avec des développements spécifiques non maintenus.
- themes/Frontend/ : modèles et JavaScript du thème propre, prisés pour les skimmers au paiement.
- web/cache/ : fichiers de thème compilés qui, une fois manipulés, sont livrés à chaque visiteur.
- media/ et files/ : images, téléchargements et documents, pas de fichiers PHP.
- var/log/ : journaux que vous devriez sauvegarder avant toute modification.
Contrôle sans danger des fichiers PHP là où il ne devrait y en avoir aucun :
find media files web/cache -type f -name "*.php"
find themes custom -name "*.php" -newermt "2026-10-17"
Le back-office se trouve sous /backend. Vérifiez-y la gestion des utilisateurs à la recherche de comptes inconnus et limitez si possible l'accès aux réseaux connus. Le gestionnaire de plugins mérite lui aussi un coup d'œil : des plugins inconnus ou récemment installés que personne n'a commandés sont un net signal d'alerte.
Avec les anciennes boutiques s'ajoute un problème pratique. Souvent, plus personne ne sait exactement quels plugins ont été adaptés sur mesure, et l'agence d'origine n'est plus joignable. Une comparaison avec les paquets d'origine des éditeurs de plugins est alors le seul moyen fiable de détecter des modifications. Profitez-en pour documenter aussi quels plugins la boutique utilise réellement ; cela aidera plus tard pour la migration.
Si votre boutique Shopware 5 tourne sur PHP 8.1 ou plus ancien et que votre hébergeur ne peut pas confirmer de backport, appliquez immédiatement les mesures transitoires de php.net. Le BSI (office fédéral allemand de la sécurité des systèmes d'information) recommande de déconnecter temporairement les serveurs web du réseau lorsqu'une mise à jour n'est pas possible immédiatement.
Protection transitoire jusqu'à la migration
Tant que PHP n'est pas mis à jour ou que la boutique n'a pas migré, les mesures de php.net réduisent le risque sans offrir de protection complète. Elles relèvent de la configuration du serveur, pas de .user.ini :
; à définir dans le pool FPM comme php_admin_value ou php_admin_flag
memory_limit = -1
post_max_size = 32M
upload_max_filesize = 16M
session.upload_progress.enabled = 0
Redémarrez ensuite tous les processus PHP. Un filtre placé en amont peut aider en complément ; les détails se trouvent sous Mesures immédiates sans correctif.
Ce qu'apporte une mise à jour de Shopware 5 et ce qu'elle n'apporte pas
Une mise à jour au sein de Shopware 5 peut combler des défauts connus de la boutique et permet parfois d'utiliser des versions de PHP plus récentes. Elle ne corrige pas PHP, ne supprime pas de fichiers étrangers et ne prouve pas que la boutique est saine. Le passage à Shopware 6 est un projet avec reprise des données, nouveau thème et nouveaux plugins. La manière dont nous structurons de telles migrations est décrite dans PHP 8.1 et antérieur : migration.
Consignez le résultat par écrit : état de PHP, confirmation du backport et date du redémarrage. Vous aurez besoin de cette documentation en cas de questions de l'assurance, du prestataire de paiement ou du délégué à la protection des données.
Comment PHP SOS aide-t-il concrètement ?
- Nous déterminons la version de PHP, l'état des paquets et la situation des backports de votre serveur Shopware 5.
- Nous mettons en place une protection transitoire dans la configuration du serveur et redémarrons tous les processus.
- Nous contrôlons les plugins, le thème, le cache et les utilisateurs à la recherche de traces d'une attaque.
- Nous établissons avec vous une feuille de route : mise à niveau de PHP sur Shopware 5 comme étape intermédiaire ou migration directe.
Questions fréquentes
De quelle version de PHP Shopware 5 a-t-il besoin ?
Cela dépend de la version exacte de Shopware 5. Consultez la configuration requise dans la documentation sur shopware.com pour votre version installée. Pour PHP2Shell, l'essentiel est de savoir si votre version de PHP reçoit encore des mises à jour de sécurité.
Puis-je simplement faire passer Shopware 5 à PHP 8.3 ?
Seulement si votre version de Shopware et tous les plugins prennent en charge cette version de PHP. Sinon, des erreurs menacent au paiement ou dans le back-office. Testez le changement sur une copie de la boutique avant de le mettre en production.
Passer à Shopware 6 est-il une simple mise à jour ?
Non. Shopware 6 est une nouvelle plateforme avec une autre technique, d'autres plugins et un autre système de thèmes. Les données peuvent être reprises, mais les plugins et le design doivent être refaits.
Que faire si la migration prend des mois ?
La boutique a alors besoin, d'ici là, d'un PHP corrigé via la distribution ou l'hébergeur, des mesures transitoires de php.net et, le cas échéant, d'un filtre placé en amont. Cela réduit le risque, mais ne remplace pas la migration.