Trumpai: Po PHP2Shell Shopware 5 PHP versija yra svarbiausias klausimas. Daug tokių parduotuvių veikia su PHP 8.1 ar senesne versija, o jai PHP projektas oficialių atnaujinimų nebeteikia. Todėl reikia patvirtinto atgalinio perkėlimo (backport) ar pereinamosios apsaugos ir aiškaus perėjimo plano.
Kodėl Shopware 5 parduotuvės turi būti vertinamos ypač atidžiai
PHP2Shell apima dvi kritines PHP spragas, CVE-2026-109618 ir CVE-2026-109619. Specializuotos spaudos teigimu, paveiktos beveik visos versijos iki pat PHP 5.4. Oficialūs taisymai yra tik PHP 8.2–8.5, o 7.4, 8.0 ir 8.1 versijoms yra tik minimalūs šaltinio kodo atgaliniai perkėlimai (backport).
Shopware 5 yra Shopware 6 pirmtakė. Būtent išaugusios parduotuvės su daugybe individualių įskiepių joje ir liko, dažnai su PHP versija, buvusia aktuali per paskutinį didelį perdarymą. Ar jūsų konkreti Shopware 5 versija dar gauna gamintojo saugumo atnaujinimus, patikrinkite shopware.com. Kas galioja senoms PHP versijoms, apibendrina puslapis PHP 8.1 ir senesnės versijos.
Shopware 5 PHP versijos patikra administravime ir serveryje
Shopware 5 administravime Nustatymai > Sistemos informacija (Systeminfo) rodo serverio aplinką, įskaitant PHP versiją, ir tikrina reikalavimus. Tai versija, su kuria veikia administravimas. Ar jūsų talpintojas įdiegė atgalinį perkėlimą (backport), ten nematyti; numeris gali likti toks pats, nors pataisa įdiegta.
| PHP būsena | Padėtis dėl PHP2Shell | Kitas žingsnis |
|---|---|---|
| 8.2–8.5 | Oficialus taisymas yra | Atnaujinti, paleisti iš naujo, įrodymas |
| 7.4, 8.0, 8.1 | Tik minimalūs šaltinio atgaliniai perkėlimai | Paprašyti patvirtinti atgalinį perkėlimą, planuoti perėjimą |
| 7.3 ir senesnė | PHP projekto taisymo nėra | Iš karto pereinamoji apsauga, paankstinti perėjimą |
Kurias PHP versijas toleruoja jūsų Shopware 5 versija ir įskiepiai, nustatysite pagal gamintojo sistemos reikalavimus ir išbandę parduotuvės kopijoje.
Kur Shopware 5 mėgsta slėptis kenkėjiškas kodas
- config.php pagrindiniame kataloge: duomenų bazės prieiga atviru tekstu.
- custom/plugins/ ir engine/Shopware/Plugins/Community/ bei Local/: naujesnės ir senesnės įskiepių vietos, dažnai su savos kūrimo, neprižiūrimais plėtiniais.
- themes/Frontend/: savos temos šablonai ir JavaScript, mėgstama skimerių vieta atsiskaitant.
- web/cache/: sukompiliuoti temos failai, kurie po pakeitimo pateikiami kiekvienam lankytojui.
- media/ ir files/: paveikslėliai, atsisiuntimai ir dokumentai, ne PHP failai.
- var/log/: žurnalai, kuriuos reikėtų išsaugoti prieš bet kokį keitimą.
Nepavojinga PHP failų paieška vietose, kur jų neturėtų būti:
find media files web/cache -type f -name "*.php"
find themes custom -name "*.php" -newermt "2026-10-17"
Administravimas yra adresu /backend. Ten patikrinkite naudotojų valdymą dėl nežinomų paskyrų ir, jei įmanoma, apribokite prieigą žinomiems tinklams. Dėmesio verta ir įskiepių tvarkyklė: nežinomi ar neseniai įdiegti įskiepiai, kurių niekas neužsakė, yra aiškus perspėjamasis ženklas.
Senose parduotuvėse atsiranda ir praktinė problema. Dažnai niekas tiksliai nebežino, kurie įskiepiai buvo pritaikyti individualiai, o pradinė agentūra nebepasiekiama. Palyginimas su įskiepių gamintojų originaliais paketais tada yra vienintelis patikimas būdas pastebėti pakeitimus. Tuo pačiu užfiksuokite, kokių įskiepių parduotuvei iš tikrųjų reikia; tai padės vėliau perėjimo metu.
Jei jūsų Shopware 5 parduotuvė veikia su PHP 8.1 ar senesne versija, o talpintojas negali patvirtinti atgalinio perkėlimo (backport), nedelsdami taikykite php.net pereinamąsias priemones. BSI (Vokietijos federalinė informacijos saugumo tarnyba) rekomenduoja laikinai atjungti žiniatinklio serverius nuo tinklo, jei atnaujinimas iš karto neįmanomas.
Pereinamoji apsauga iki perėjimo
Kol PHP neatnaujintas ar parduotuvė neperkelta, php.net priemonės sumažina riziką, bet visiškos apsaugos neužtikrina. Jos priklauso serverio konfigūracijai, o ne .user.ini:
; FPM baseine nustatyti kaip php_admin_value arba php_admin_flag
memory_limit = -1
post_max_size = 32M
upload_max_filesize = 16M
session.upload_progress.enabled = 0
Po to iš naujo paleiskite visus PHP procesus. Papildomai gali padėti priešakyje įjungtas filtras; išsamiau puslapyje Skubios priemonės be pataisos.
Ką gali ir ko negali Shopware 5 atnaujinimas
Atnaujinimas Shopware 5 viduje gali uždaryti žinomas parduotuvės klaidas ir kartais leisti naudoti naujesnes PHP versijas. Jis netaiso PHP, nepašalina svetimų failų ir neįrodo, kad parduotuvė švari. Perėjimas prie Shopware 6 yra projektas su duomenų perkėlimu, nauja tema ir naujais įskiepiais. Kaip tokius perėjimus struktūruojame, aprašyta puslapyje PHP 8.1 ir senesnės versijos: migracija.
Rezultatą užfiksuokite raštu: PHP būsena, atgalinio perkėlimo patvirtinimas ir paleidimo iš naujo data. Šios dokumentacijos prireiks, kai kreipsis draudikas, mokėjimo paslaugų teikėjas ar duomenų apsaugos pareigūnas.
Kaip PHP SOS padeda konkrečiai?
- Nustatome jūsų Shopware 5 serverio PHP versiją, paketų būseną ir atgalinių perkėlimų padėtį.
- Serverio konfigūracijoje įgyvendiname pereinamąją apsaugą ir iš naujo paleidžiame visus procesus.
- Tikriname įskiepius, temą, talpyklą ir naudotojus dėl išpuolio pėdsakų.
- Kartu su jumis parengiame veiksmų planą: PHP atnaujinimas Shopware 5 kaip tarpinis žingsnis arba tiesioginis perėjimas.
Dažni klausimai
Kokios PHP versijos reikia Shopware 5?
Tai priklauso nuo tikslios Shopware 5 versijos. Savo įdiegtos versijos sistemos reikalavimus patikrinkite dokumentacijoje shopware.com. PHP2Shell atveju lemia tai, ar jūsų PHP versija vis dar gauna saugumo atnaujinimus.
Ar Shopware 5 galiu tiesiog perjungti į PHP 8.3?
Tik jei jūsų Shopware versija ir visi įskiepiai palaiko šią PHP versiją. Kitaip kyla klaidų atsiskaitant ar administravime. Pakeitimą išbandykite parduotuvės kopijoje, prieš perjungdami gyvai.
Ar perėjimas prie Shopware 6 yra tik atnaujinimas?
Ne. Shopware 6 yra nauja platforma su kita technika, kitais įskiepiais ir kita temų sistema. Duomenis galima perkelti, bet įskiepius ir dizainą reikia įgyvendinti iš naujo.
Ką daryti, jei perėjimas užtruks mėnesius?
Tada iki to laiko parduotuvei reikia pataisyto PHP per distribuciją ar talpintoją, pereinamųjų php.net priemonių ir, jei reikia, priešakyje įjungto filtro. Tai sumažina riziką, bet perėjimo nepakeičia.