# Shopware 6 beveiligingslek PHP2Shell: zo beveiligt u uw webshop > Shopware 6 en PHP2Shell: waarom een shopupdate niet volstaat, waar schadelijke code zit (.env, custom/plugins, public) en hoe u integraties controleert. Bron: https://phpsos.de/nl/plattformen/shopware-6/ Stand: 25-10-2026 Aanbieder: PHP SOS, PHP-noodhulp en serverbeveiliging. Directe hulp via WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wij%20hebben%20hulp%20nodig%20met%20onze%20PHP-server.%20Bedrijf%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6 **Kort gezegd:** Het Shopware 6-beveiligingslek waar veel handelaren nu naar zoeken, is eigenlijk een kwetsbaarheid in PHP. Shopware-updates sluiten haar niet. U hebt een gepatchte PHP met herstart van alle processen nodig en moet daarna `.env`, `custom/plugins`, de `public`-map en de API-integraties controleren. ## Wat PHP2Shell voor Shopware 6 betekent Shopware 6 is gebouwd op het PHP-framework Symfony en draait meestal met PHP-FPM achter Nginx of Apache. De kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 betreffen precies deze uitvoeringsmodus. Volgens het PHP-team maken ze het mogelijk om op afstand schadelijke code uit te voeren, zonder inloggen in de webshop. Een aanvaller met code-uitvoering op de server bereikt alles waartoe de webshop zelf toegang heeft: klantgegevens, bestellingen, factuurdocumenten, toegangsgegevens tot voorraadbeheer en betaaldienstverleners. De technische achtergrond leggen we uit onder [Wat is PHP2Shell?](https://phpsos.de/nl/php2shell/was-ist-php2shell/). ## Shopware 6-beveiligingslek controleren: welke PHP draait er echt? Shopware 6 wordt veel via de opdrachtregel onderhouden, bijvoorbeeld met `bin/console`. Daarbij ligt een fout voor de hand: `php -v` toont de versie van de opdrachtregel-PHP, niet per se die van PHP-FPM, dat de verzoeken van de webshop afhandelt. Op veel servers staan meerdere PHP-versies naast elkaar. Betrouwbaar zijn de opgave in het hostingpaneel voor het betreffende domein en de bevestiging van de hostingprovider over de pakketstatus. Verholpen upstreamversies zijn 8.5.12, 8.4.27, 8.3.36 en 8.2.35; backports kunnen oudere nummers dragen. Welke PHP-versies uw Shopware-versie ondersteunt, controleert u volgens de systeemeisen in de documentatie op shopware.com. Hoe u zelf kunt nakijken, staat onder [PHP-versie en patchstatus goed controleren](https://phpsos.de/nl/php2shell/php-version-pruefen/). Een punt wordt bij Shopware 6 vaak over het hoofd gezien: veel webshops verwerken de berichtenwachtrij en geplande taken via permanent draaiende achtergrondprocessen, bijvoorbeeld `bin/console messenger:consume` onder een procesmanager. Deze processen laden PHP eenmalig bij het starten. Na de update moeten daarom niet alleen PHP-FPM, maar ook deze workers worden herstart. Anders werkt een deel van de webshop verder met de oude, kwetsbare PHP in het geheugen. ## Mappen en bestanden die u moet kennen | Plek | Inhoud | Waarom relevant | |---|---|---| | `.env`, `.env.local` | Databasetoegang, `APP_SECRET`, overige sleutels | Bij vermoeden vernieuwen | | `public/` | Documentroot met `index.php`, media, themabestanden | Extra PHP-bestanden zijn verdacht | | `public/theme/` | Gecompileerde JavaScript- en CSS-bestanden van de storefront | Plek voor binnengebrachte skimmers | | `custom/plugins/`, `custom/apps/` | Extensies | Gewijzigde plugincode | | `files/` | Privébestanden zoals facturen en pakbonnen | Persoonsgegevens | | `var/log/` | Webshoplogs | Sporen veiligstellen | Ongevaarlijke eerste controles: ```bash # Geïnstalleerde plug-ins met versie en status weergeven bin/console plugin:list # PHP-bestanden in de openbare map weergeven find public -type f -name "*.php" # Bekende kwetsbaarheden in Composer-afhankelijkheden weergeven composer audit ``` In de map `public/` horen maar weinig, bekende PHP-bestanden te staan. Alles wat onbekend is, moet worden veiliggesteld en onderzocht, niet meteen verwijderd. > **Tip:** > Controleer in de beheeromgeving onder Instellingen > Systeem de onderdelen "Gebruikers & rechten" en "Integraties". Onbekende gebruikers of API-integraties zijn een achterdeur die elke bestandsscan over het hoofd ziet. ## Beheerderstoegang, plug-ins en apps als risico De beheeromgeving staat standaard onder `/admin`. Beveilig haar met persoonlijke accounts, sterke authenticatie en zo mogelijk met een toegangsbeperking tot bekende netwerken. Integraties voor voorraadbeheer, marktplaatsen of verzendpartners mogen alleen de rechten hebben die ze echt nodig hebben. Plug-ins uit de store en eigen ontwikkelingen brengen eigen PHP-code mee, apps bovendien webhooks naar externe servers. Hoe meer extensies, des te groter het aanvalsoppervlak en des te omslachtiger elke PHP-upgrade. Verwijder plug-ins die niet meer worden gebruikt volledig. ## Wat een Shopware-update wel en niet kan Een update van Shopware of een plug-in dicht bekende fouten in die code. Ze kan niet: - PHP op de server patchen, - oude PHP-FPM-processen herstarten, - vreemde bestanden in `public/` of gemanipuleerde themabestanden betrouwbaar verwijderen, - vreemde gebruikers of integraties wissen, - aantonen dat er vóór de patch niets is gebeurd. Na een PHP-update naar een nieuwe hoofdversie moet u cache en thema opnieuw laten genereren en de webshop in een testomgeving controleren. De PHP-overstap met bewijs neemt desgewenst onze [PHP-patchservice](https://phpsos.de/nl/leistungen/php-patch-service/) over. Shopware 6 draait bij grotere handelaren vaak op meerdere appservers. Dan moet elke server zijn gepatcht en herstart, ook die welke alleen achtergrondtaken afhandelen. Beheert een dienstverlener de webshop als beheerd platform, dan moet die u de status voor alle nodes bevestigen. ## Hoe helpt PHP SOS concreet? - Wij stellen vast welke PHP uw webshop via FPM daadwerkelijk gebruikt en regelen patch en herstart met hostingprovider of bureau. - Wij maken een kopie van de logs vanaf 20-10-2026, de database en de bestanden. - Wij controleren `public/`, gecompileerde themabestanden, plug-ins, gebruikers en integraties op opvallende zaken. - Bij een vondst reinigen wij de webshop samen met uw bureau en vernieuwen wij sleutels en toegangen op een geordende manier. ## Veelgestelde vragen **Is Shopware 6 zelf getroffen door PHP2Shell?** De kwetsbaarheden zitten in PHP, niet in de Shopware-code. Elke Shopware 6-webshop op een ongepatchte PHP is daarom potentieel kwetsbaar, ongeacht de Shopware-versie. Een Shopware-update verandert daar niets aan. **Welk bestand in Shopware 6 is na een aanval bijzonder kritiek?** Het bestand .env of .env.local met databasetoegang en APP_SECRET. Wie het kon lezen, kent uw toegangsgegevens. Bij een vermoeden moeten deze waarden worden vernieuwd, in overleg met uw bureau. **Wat zijn integraties in Shopware 6 en waarom moet ik ze controleren?** Integraties zijn API-toegangen voor externe systemen zoals voorraadbeheer of marktplaatsen. Een vreemde integratie met beheerdersrechten geeft via de API volledige toegang tot de webshop, zonder dat er een bestand op de server staat. ## Bronnen - [php.net: beveiligingsmeldingen](https://www.php.net/) - [Shopware](https://www.shopware.com/) - [Ondersteunde PHP-versies](https://www.php.net/supported-versions.php) - [OWASP Top 10](https://owasp.org/www-project-top-ten/)