Kort gezegd: De Shopware 5 PHP-versie is na PHP2Shell de belangrijkste vraag. Veel van deze webshops draaien op PHP 8.1 of ouder, en daarvoor zijn er van het PHP-project geen officiële updates meer. U hebt daarom een bevestigde backport of tijdelijke bescherming nodig en een vast plan voor de overstap.
Waarom Shopware 5-webshops extra goed moeten kijken
PHP2Shell omvat twee kritieke kwetsbaarheden in PHP, CVE-2026-109618 en CVE-2026-109619. Volgens de vakpers zijn bijna alle versies tot en met PHP 5.4 getroffen. Officiële correcties bestaan alleen voor PHP 8.2 tot en met 8.5; voor 7.4, 8.0 en 8.1 zijn er slechts minimale backports van de broncode.
Shopware 5 is de voorgaande generatie van Shopware 6. Juist gegroeide webshops met veel individuele plug-ins zijn daar gebleven, vaak op de PHP-versie die bij de laatste grote verbouwing actueel was. Of uw concrete Shopware 5-versie nog beveiligingsupdates van de fabrikant krijgt, controleert u op shopware.com. Wat voor oude PHP-versies geldt, vat PHP 8.1 en ouder samen.
Shopware 5 PHP-versie controleren in de back-end en op de server
In de Shopware 5-back-end toont Instellingen > Systeeminfo de serveromgeving, inclusief PHP-versie, en controleert de systeemeisen. Dat is de versie waarmee de back-end draait. Of uw hostingprovider een backport heeft doorgevoerd, ziet u daar niet; het nummer kan gelijk blijven terwijl er wel is gepatcht.
| PHP-status | Situatie bij PHP2Shell | Volgende stap |
|---|---|---|
| 8.2 tot en met 8.5 | Officiële correctie beschikbaar | Update, herstart, bewijs |
| 7.4, 8.0, 8.1 | Alleen minimale backports van de broncode | Backport laten bevestigen, overstap plannen |
| 7.3 en ouder | Geen correctie van het PHP-project | Direct tijdelijke bescherming, overstap naar voren halen |
Welke PHP-versies uw Shopware 5-versie en uw plug-ins verdragen, stelt u vast volgens de systeemeisen van de fabrikant en door een test in een kopie van de webshop.
Waar schadelijke code in Shopware 5 graag staat
- config.php in de hoofdmap: databasetoegang in platte tekst.
- custom/plugins/ en engine/Shopware/Plugins/Community/ en Local/: nieuwere en oudere pluginlocaties, vaak met eigen ontwikkelingen zonder onderhoud.
- themes/Frontend/: templates en JavaScript van het eigen thema, geliefd voor skimmers in de checkout.
- web/cache/: gecompileerde themabestanden die na manipulatie aan elke bezoeker worden geleverd.
- media/ en files/: afbeeldingen, downloads en documenten, geen PHP-bestanden.
- var/log/: logs die u vóór elke wijziging moet veiligstellen.
Ongevaarlijke controle op PHP-bestanden op plekken waar ze niet horen:
find media files web/cache -type f -name "*.php"
find themes custom -name "*.php" -newermt "2026-10-17"
De back-end staat onder /backend. Controleer daar het gebruikersbeheer op onbekende accounts en beperk de toegang zo mogelijk tot bekende netwerken. Ook de pluginmanager verdient een blik: onbekende of onlangs geïnstalleerde plug-ins die niemand heeft besteld, zijn een duidelijk waarschuwingssignaal.
Bij oude webshops komt er een praktisch probleem bij. Vaak weet niemand meer precies welke plug-ins individueel zijn aangepast, en het oorspronkelijke bureau is niet meer bereikbaar. Een vergelijking met de originele pakketten van de pluginfabrikanten is dan de enige betrouwbare manier om wijzigingen te herkennen. Documenteer bij die gelegenheid meteen welke plug-ins de webshop echt nodig heeft; dat helpt later bij de overstap.
Draait uw Shopware 5-webshop op PHP 8.1 of ouder en kan uw hostingprovider geen backport bevestigen, voer dan direct de overbruggingsmaatregelen van php.net uit. Het BSI (de Duitse federale dienst voor informatiebeveiliging) adviseert webservers tijdelijk van het netwerk te halen als een update niet direct mogelijk is.
Tijdelijke bescherming tot de overstap
Tot PHP is bijgewerkt of de webshop is verhuisd, verlagen de maatregelen van php.net het risico, zonder volledige bescherming te bieden. Ze horen in de serverconfiguratie, niet in .user.ini:
; in de FPM-pool instellen als php_admin_value resp. php_admin_flag
memory_limit = -1
post_max_size = 32M
upload_max_filesize = 16M
session.upload_progress.enabled = 0
Start daarna alle PHP-processen opnieuw. Een voorgeschakeld filter kan extra helpen; details staan onder Noodmaatregelen zonder patch.
Wat een Shopware 5-update wel en niet doet
Een update binnen Shopware 5 kan bekende fouten in de webshop dichten en maakt soms nieuwere PHP-versies mogelijk. Ze patcht PHP niet, verwijdert geen vreemde bestanden en bewijst niet dat de webshop schoon is. De overstap naar Shopware 6 is een project met gegevensoverdracht, een nieuw thema en nieuwe plug-ins. Hoe wij zulke overstappen structureren, beschrijft PHP 8.1 en ouder: migratie.
Leg het resultaat schriftelijk vast: PHP-status, backportbevestiging en datum van de herstart. Deze documentatie hebt u nodig bij vragen van verzekeraar, betaaldienstverlener of functionaris voor gegevensbescherming.
Hoe helpt PHP SOS concreet?
- Wij bepalen PHP-versie, pakketstatus en backportsituatie van uw Shopware 5-server.
- Wij voeren tijdelijke bescherming in de serverconfiguratie door en starten alle processen opnieuw.
- Wij controleren plug-ins, thema, cache en gebruikers op sporen van een aanval.
- Wij stellen samen met u een stappenplan op: PHP-upgrade op Shopware 5 als tussenstap of directe overstap.
Veelgestelde vragen
Welke PHP-versie heeft Shopware 5 nodig?
Dat hangt af van de exacte Shopware 5-versie. Controleer de systeemeisen in de documentatie op shopware.com voor uw geïnstalleerde versie. Voor PHP2Shell is beslissend of uw PHP-versie nog beveiligingsupdates krijgt.
Kan ik Shopware 5 gewoon op PHP 8.3 zetten?
Alleen als uw Shopware-versie en alle plug-ins die PHP-versie ondersteunen. Anders dreigen fouten in de checkout of in de back-end. Test de overstap in een kopie van de webshop voordat u hem live zet.
Is een overstap naar Shopware 6 slechts een update?
Nee. Shopware 6 is een nieuw platform met andere techniek, andere plug-ins en een ander themasysteem. Gegevens zijn over te nemen, maar plug-ins en ontwerp moeten opnieuw worden gerealiseerd.
Wat te doen als de overstap maanden duurt?
Dan heeft de webshop tot die tijd een gepatchte PHP nodig via de distributie of de hostingprovider, de overbruggingsmaatregelen van php.net en eventueel een voorgeschakeld filter. Dat verlaagt het risico, maar vervangt de overstap niet.