# Versione PHP di Shopware 5 dopo PHP2Shell: mettere in sicurezza i vecchi shop > Shopware 5 gira spesso su una versione PHP vecchia. Verifichi il Suo stato, chiuda PHP2Shell con una protezione transitoria e pianifichi con ordine il passaggio. Fonte: https://phpsos.de/it/plattformen/shopware-5/ Stato: 25/10/2026 Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6 **In breve:** dopo PHP2Shell, la versione PHP di Shopware 5 è la domanda più importante. Molti di questi shop girano su PHP 8.1 o precedente, per cui il progetto PHP non rilascia più aggiornamenti ufficiali. Servono quindi un backport confermato o una protezione transitoria e un piano preciso per la migrazione. ## Perché gli shop Shopware 5 richiedono un'attenzione particolare PHP2Shell comprende due vulnerabilità critiche in PHP, CVE-2026-109618 e CVE-2026-109619. Secondo la stampa specializzata sono interessate quasi tutte le versioni, fino a PHP 5.4. Correzioni ufficiali esistono solo per PHP da 8.2 a 8.5; per 7.4, 8.0 e 8.1 ci sono soltanto backport minimi del sorgente. Shopware 5 è la generazione precedente di Shopware 6. Soprattutto gli shop cresciuti nel tempo, con molti plugin personalizzati, sono rimasti lì, spesso sulla versione di PHP che era attuale all'ultima grande ristrutturazione. Se la Sua specifica versione di Shopware 5 riceva ancora aggiornamenti di sicurezza dal produttore, lo verifichi su shopware.com. Che cosa vale per le vecchie versioni di PHP è riassunto in [PHP 8.1 e precedenti](https://phpsos.de/it/php2shell/php-8-1-und-aelter/). ## Verificare la versione PHP di Shopware 5 nel backend e sul server Nel backend di Shopware 5, **Impostazioni > Info di sistema** mostra l'ambiente del server, versione di PHP inclusa, e verifica i requisiti. È la versione con cui gira il backend. Se il Suo hoster abbia applicato un backport, lì non lo vede; il numero può restare lo stesso anche se la patch c'è. | Stato di PHP | Situazione con PHP2Shell | Passo successivo | |---|---|---| | Da 8.2 a 8.5 | Correzione ufficiale disponibile | Aggiornamento, riavvio, evidenza | | 7.4, 8.0, 8.1 | Solo backport minimi del sorgente | Farsi confermare il backport, pianificare la migrazione | | 7.3 e precedenti | Nessuna correzione dal progetto PHP | Protezione transitoria subito, anticipare la migrazione | Quali versioni di PHP tollerano la Sua versione di Shopware 5 e i Suoi plugin, lo stabilisce in base ai requisiti di sistema del produttore e con un test su una copia dello shop. ## Dove si trova volentieri il codice dannoso in Shopware 5 - **config.php** nella directory principale: dati di accesso al database in chiaro. - **custom/plugins/** ed **engine/Shopware/Plugins/Community/** nonché **Local/**: posizioni dei plugin più recenti e più vecchie, spesso con sviluppi personalizzati non manutenuti. - **themes/Frontend/**: template e JavaScript del tema proprio, popolari per gli skimmer nel checkout. - **web/cache/**: file del tema compilati che, se manipolati, vengono consegnati a ogni visitatore. - **media/** e **files/**: immagini, download e documenti, non file PHP. - **var/log/**: log che dovrebbe salvare prima di qualsiasi modifica. Controllo non invasivo dei file PHP in posti dove non dovrebbero essercene: ```bash find media files web/cache -type f -name "*.php" find themes custom -name "*.php" -newermt "2026-10-17" ``` Il backend si trova in `/backend`. Controlli lì la gestione degli utenti alla ricerca di account sconosciuti e, se possibile, limiti l'accesso a reti note. Anche il Plugin Manager merita uno sguardo: plugin sconosciuti o installati di recente che nessuno ha commissionato sono un chiaro segnale d'allarme. Con i vecchi shop si aggiunge un problema pratico. Spesso nessuno sa più con precisione quali plugin siano stati personalizzati, e l'agenzia originaria non è più raggiungibile. Un confronto con i pacchetti originali dei produttori dei plugin è allora l'unico modo affidabile per riconoscere le modifiche. Colga l'occasione per documentare subito anche quali plugin lo shop usi davvero; sarà utile in seguito per la migrazione. > **Agire subito:** > Se il Suo shop Shopware 5 gira su PHP 8.1 o precedente e il Suo hoster non può confermare un backport, applichi subito le misure transitorie di php.net. Il BSI (Ufficio federale tedesco per la sicurezza informatica) raccomanda di scollegare temporaneamente dalla rete i web server se un aggiornamento non è possibile subito. ## Protezione transitoria fino alla migrazione Finché PHP non è aggiornato o lo shop non è stato migrato, le misure di php.net riducono il rischio senza offrire una protezione completa. Vanno nella configurazione del server, non in `.user.ini`: ```ini ; impostare nel pool FPM come php_admin_value o php_admin_flag memory_limit = -1 post_max_size = 32M upload_max_filesize = 16M session.upload_progress.enabled = 0 ``` Poi riavviare tutti i processi PHP. Un filtro a monte può aiutare ulteriormente; i dettagli sono in [Misure immediate senza patch](https://phpsos.de/it/php2shell/sofortmassnahmen-ohne-patch/). ## Che cosa offre un aggiornamento di Shopware 5 e che cosa no Un aggiornamento all'interno di Shopware 5 può chiudere errori noti nello shop e talvolta rendere possibili versioni di PHP più recenti. Non applica patch a PHP, non rimuove file estranei e non dimostra che lo shop sia pulito. Il passaggio a Shopware 6 è un progetto con trasferimento dei dati, nuovo tema e nuovi plugin. Come strutturiamo questi passaggi è descritto in [PHP 8.1 e precedenti: migrazione](https://phpsos.de/it/leistungen/php-migration-legacy/). Metta per iscritto il risultato: stato di PHP, conferma del backport e data del riavvio. Questa documentazione Le servirà in caso di richieste da parte di assicurazione, fornitore di pagamento o responsabile della protezione dei dati. ## In che modo PHP SOS aiuta concretamente? - Accertiamo versione di PHP, stato dei pacchetti e situazione dei backport del Suo server Shopware 5. - Applichiamo la protezione transitoria nella configurazione del server e riavviamo tutti i processi. - Controlliamo plugin, tema, cache e utenti alla ricerca di tracce di un attacco. - Elaboriamo con Lei una tabella di marcia: aggiornamento di PHP su Shopware 5 come passo intermedio oppure migrazione diretta. ## Domande frequenti **Quale versione di PHP richiede Shopware 5?** Dipende dalla versione esatta di Shopware 5. Verifichi i requisiti di sistema nella documentazione su shopware.com per la versione installata. Per PHP2Shell conta soprattutto se la Sua versione di PHP riceve ancora aggiornamenti di sicurezza. **Posso semplicemente passare Shopware 5 a PHP 8.3?** Solo se la Sua versione di Shopware e tutti i plugin supportano questa versione di PHP. Altrimenti si rischiano errori nel checkout o nel backend. Provi il passaggio su una copia dello shop prima di metterlo in produzione. **Il passaggio a Shopware 6 è solo un aggiornamento?** No. Shopware 6 è una nuova piattaforma con tecnologia, plugin e sistema di temi diversi. I dati si possono trasferire, ma plugin e design vanno realizzati di nuovo. **Che fare se il passaggio richiede mesi?** Allora fino a quel momento lo shop ha bisogno di un PHP aggiornato tramite distribuzione o hoster, delle misure transitorie di php.net ed eventualmente di un filtro a monte. Questo riduce il rischio, ma non sostituisce il passaggio. ## Fonti - [php.net: bollettini di sicurezza](https://www.php.net/) - [Versioni di PHP supportate](https://www.php.net/supported-versions.php) - [Shopware](https://www.shopware.com/) - [TechTarget: PHP2Shell](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)