Em resumo: após o PHP2Shell, a versão do PHP do Shopware 5 é a questão mais importante. Muitas destas lojas correm no PHP 8.1 ou anterior, para o qual o projeto PHP já não publica atualizações oficiais. Precisa, por isso, de um backport confirmado ou de proteção provisória e de um plano firme para a migração.
Porque as lojas Shopware 5 exigem especial atenção
O PHP2Shell abrange duas vulnerabilidades críticas no PHP, CVE-2026-109618 e CVE-2026-109619. Segundo a imprensa especializada, estão afetadas quase todas as versões até ao PHP 5.4. Só existem correções oficiais para o PHP 8.2 a 8.5; para 7.4, 8.0 e 8.1 existem apenas backports mínimos do código-fonte.
O Shopware 5 é a geração anterior ao Shopware 6. Sobretudo lojas que foram crescendo, com muitos plugins personalizados, ficaram nele, muitas vezes na versão do PHP que era a atual na última grande reformulação. Se a sua versão concreta do Shopware 5 ainda recebe atualizações de segurança do fabricante, verifique-o em shopware.com. O que vale para versões antigas do PHP resume-o PHP 8.1 e anteriores.
Verificar a versão PHP do Shopware 5 no backend e no servidor
No backend do Shopware 5, Definições > Informação do sistema mostra o ambiente do servidor, incluindo a versão do PHP, e verifica os requisitos. Essa é a versão com que o backend corre. Se o seu fornecedor de alojamento aplicou um backport, não o vê aí; o número pode manter-se igual, apesar de o patch estar aplicado.
| Versão do PHP | Situação perante o PHP2Shell | Passo seguinte |
|---|---|---|
| 8.2 a 8.5 | Existe correção oficial | Atualização, reinício, comprovativo |
| 7.4, 8.0, 8.1 | Apenas backports mínimos do código-fonte | Fazer confirmar o backport, planear a migração |
| 7.3 e anteriores | Nenhuma correção do projeto PHP | Proteção provisória de imediato, antecipar a migração |
Que versões do PHP a sua versão do Shopware 5 e os seus plugins suportam, apura-o nos requisitos de sistema do fabricante e através de um teste numa cópia da loja.
Onde o código malicioso gosta de estar no Shopware 5
- config.php na pasta principal: acesso à base de dados em texto simples.
- custom/plugins/ e engine/Shopware/Plugins/Community/ bem como Local/: locais de plugins mais recentes e mais antigos, muitas vezes com desenvolvimentos próprios sem manutenção.
- themes/Frontend/: templates e JavaScript do tema próprio, populares para skimmers no checkout.
- web/cache/: ficheiros de tema compilados que, depois de manipulados, são entregues a cada visitante.
- media/ e files/: imagens, transferências e documentos, não ficheiros PHP.
- var/log/: registos que deve guardar antes de qualquer alteração.
Verificação inofensiva de ficheiros PHP em locais onde não deviam existir:
find media files web/cache -type f -name "*.php"
find themes custom -name "*.php" -newermt "2026-10-17"
O backend fica em /backend. Verifique aí a gestão de utilizadores quanto a contas desconhecidas e, se possível, restrinja o acesso a redes conhecidas. Também o gestor de plugins merece uma vista de olhos: plugins desconhecidos ou instalados recentemente que ninguém encomendou são um sinal de alerta claro.
Nas lojas antigas junta-se um problema prático. Muitas vezes já ninguém sabe ao certo que plugins foram adaptados individualmente, e a agência original já não está contactável. Uma comparação com os pacotes originais dos fabricantes dos plugins é então a única forma fiável de reconhecer alterações. Aproveite para documentar também de que plugins a loja realmente precisa; isso ajuda mais tarde na migração.
Se a sua loja Shopware 5 corre no PHP 8.1 ou anterior e o seu fornecedor de alojamento não consegue confirmar um backport, aplique de imediato as medidas provisórias do php.net. O BSI recomenda retirar temporariamente os servidores web da rede quando uma atualização não é possível de imediato.
Proteção provisória até à migração
Até o PHP ser atualizado ou a loja migrada, as medidas do php.net reduzem o risco sem oferecer proteção completa. Pertencem à configuração do servidor, não ao .user.ini:
; definir no pool FPM como php_admin_value ou php_admin_flag
memory_limit = -1
post_max_size = 32M
upload_max_filesize = 16M
session.upload_progress.enabled = 0
Depois, reinicie todos os processos PHP. Um filtro à frente do servidor pode ajudar adicionalmente; os pormenores estão em Medidas imediatas sem patch.
O que uma atualização do Shopware 5 faz e o que não faz
Uma atualização dentro do Shopware 5 pode corrigir falhas conhecidas na loja e, por vezes, permitir versões mais recentes do PHP. Não aplica patch ao PHP, não remove ficheiros alheios e não prova que a loja está limpa. A mudança para o Shopware 6 é um projeto com transferência de dados, novo tema e novos plugins. Como estruturamos essas mudanças, descreve-o PHP 8.1 e anteriores: migração.
Registe o resultado por escrito: estado do PHP, confirmação do backport e data do reinício. Precisará desta documentação perante perguntas da seguradora, do prestador de pagamento ou do encarregado de proteção de dados.
Como ajuda concretamente a PHP SOS?
- Apuramos a versão do PHP, o estado do pacote e a situação dos backports do seu servidor Shopware 5.
- Aplicamos proteção provisória na configuração do servidor e reiniciamos todos os processos.
- Verificamos plugins, tema, cache e utilizadores quanto a vestígios de um ataque.
- Elaboramos consigo um calendário: atualização do PHP no Shopware 5 como passo intermédio ou migração direta.
Perguntas frequentes
Que versão do PHP precisa o Shopware 5?
Depende da versão exata do Shopware 5. Consulte os requisitos de sistema na documentação em shopware.com para a versão que tem instalada. Para o PHP2Shell, o decisivo é saber se a sua versão do PHP ainda recebe atualizações de segurança.
Posso simplesmente mudar o Shopware 5 para o PHP 8.3?
Só se a sua versão do Shopware e todos os plugins suportarem essa versão do PHP. Caso contrário, arrisca erros no checkout ou no backend. Teste a mudança numa cópia da loja antes de a pôr em produção.
A migração para o Shopware 6 é apenas uma atualização?
Não. O Shopware 6 é uma nova plataforma, com outra tecnologia, outros plugins e outro sistema de temas. Os dados podem ser transferidos, mas os plugins e o design têm de ser refeitos.
O que fazer se a migração demorar meses?
Então a loja precisa, até lá, de um PHP com patch através da distribuição ou do fornecedor de alojamento, das medidas provisórias do php.net e, se for caso disso, de um filtro à frente do servidor. Isto reduz o risco, mas não substitui a migração.