Pe scurt: Vulnerabilitatea Shopware 6 pe care o caută acum mulți comercianți este de fapt o vulnerabilitate în PHP. Actualizările Shopware nu o închid. Aveți nevoie de un PHP actualizat, cu repornirea tuturor proceselor, și ar trebui să verificați apoi .env, custom/plugins, directorul public și integrările API.
Ce înseamnă PHP2Shell pentru Shopware 6
Shopware 6 se bazează pe framework-ul PHP Symfony și rulează de obicei cu PHP-FPM în spatele Nginx sau Apache. Vulnerabilitățile CVE-2026-109618 și CVE-2026-109619 vizează exact acest mod de operare. Potrivit echipei PHP, ele permit execuția de cod malițios la distanță, fără autentificare în magazin.
Un atacator cu execuție de cod pe server ajunge la tot ce accesează magazinul însuși: date de clienți, comenzi, documente de facturare, date de acces la gestiunea mărfurilor și la furnizorii de plăți. Contextul tehnic îl explicăm la Ce este PHP2Shell?.
Verificarea vulnerabilității Shopware 6: ce PHP rulează de fapt?
Shopware 6 este întreținut mult din linia de comandă, de exemplu cu bin/console. Aici apare ușor o greșeală: php -v arată versiunea PHP din linia de comandă, nu neapărat pe cea a PHP-FPM, care procesează cererile magazinului. Pe multe servere sunt instalate mai multe versiuni PHP în paralel.
Sigure sunt informația din panoul de hosting pentru domeniul concret și confirmarea furnizorului de hosting privind starea pachetului. Versiunile upstream remediate sunt 8.5.12, 8.4.27, 8.3.36 și 8.2.35; backporturile pot purta numere mai vechi. Ce versiuni PHP sunt acceptate de versiunea dumneavoastră de Shopware verificați conform cerințelor de sistem din documentația de pe shopware.com. Cum verificați singuri este descris la Verificarea corectă a versiunii PHP și a stării patchului.
Un punct este adesea trecut cu vederea la Shopware 6: multe magazine procesează coada de mesaje și sarcinile programate prin procese de fundal care rulează permanent, de exemplu bin/console messenger:consume sub un manager de procese. Aceste procese încarcă PHP o singură dată, la pornire. După actualizare trebuie, de aceea, repornit nu doar PHP-FPM, ci și acești workeri. Altfel, o parte din magazin continuă să lucreze cu vechiul PHP vulnerabil din memorie.
Directoare și fișiere pe care ar trebui să le cunoașteți
| Loc | Conținut | De ce este relevant |
|---|---|---|
.env, .env.local |
Accesul la baza de date, APP_SECRET, alte chei |
De reînnoit în caz de suspiciune |
public/ |
Rădăcina documentelor cu index.php, media, fișiere de temă |
Fișierele PHP suplimentare sunt suspecte |
public/theme/ |
Fișiere JavaScript și CSS compilate ale storefront-ului | Loc pentru skimmere strecurate |
custom/plugins/, custom/apps/ |
Extensii | Cod de plugin modificat |
files/ |
Fișiere private, precum facturi și avize de livrare | Date cu caracter personal |
var/log/ |
Jurnalele magazinului | Păstrați urmele |
Primele verificări inofensive:
# Afișarea plugin-urilor instalate cu versiune și stare
bin/console plugin:list
# Listarea fișierelor PHP din directorul public
find public -type f -name "*.php"
# Afișarea vulnerabilităților cunoscute din dependențele Composer
composer audit
În directorul public/ ar trebui să se afle doar puține fișiere PHP, cunoscute. Tot ce este necunoscut trebuie salvat și analizat, nu șters imediat.
Verificați în Administrare, la Setări > Sistem, secțiunile „Utilizatori și drepturi” și „Integrări”. Utilizatorii sau integrările API necunoscute sunt o ușă dosnică pe care o scanare de fișiere o ratează.
Accesul de administrator, plugin-urile și aplicațiile ca risc
Administrarea se află implicit la /admin. Protejați-o cu conturi personale, autentificare puternică și, dacă este posibil, cu o restricție de acces la rețele cunoscute. Integrările pentru gestiunea mărfurilor, marketplace-uri sau furnizori de expediere ar trebui să aibă doar drepturile de care au cu adevărat nevoie.
Plugin-urile din magazinul de extensii și dezvoltările proprii aduc cod PHP propriu, iar aplicațiile aduc suplimentar webhook-uri către servere externe. Cu cât sunt mai multe extensii, cu atât suprafața de atac este mai mare și cu atât fiecare upgrade PHP este mai laborios. Eliminați complet plugin-urile care nu mai sunt folosite.
Ce poate și ce nu poate o actualizare Shopware
O actualizare Shopware sau a unui plugin închide erori cunoscute din acel cod. Ea nu poate:
- să aplice patchul PHP pe server,
- să repornească procesele PHP-FPM vechi,
- să elimine în siguranță fișiere străine din
public/sau fișiere de temă manipulate, - să șteargă utilizatori sau integrări străine,
- să dovedească faptul că înainte de patch nu s-a întâmplat nimic.
După o actualizare PHP la o versiune majoră nouă, ar trebui să regenerați cache-ul și tema și să verificați magazinul într-un mediu de test. Trecerea PHP, cu dovadă, o preia la cerere serviciul nostru de patch PHP.
La comercianții mai mari, Shopware 6 rulează adesea pe mai multe servere de aplicații. Atunci fiecare server trebuie să fie actualizat și repornit, inclusiv cele care procesează doar sarcini de fundal. Dacă un prestator operează magazinul ca platformă administrată, el ar trebui să vă confirme starea pentru toate nodurile.
Cum ajută PHP SOS concret?
- Stabilim ce PHP folosește de fapt magazinul dumneavoastră prin FPM și clarificăm patchul și repornirea cu furnizorul de hosting sau agenția.
- Salvăm jurnalele începând cu 20.10.2026, baza de date și fișierele.
- Verificăm
public/, fișierele de temă compilate, plugin-urile, utilizatorii și integrările pentru nereguli. - În caz de descoperire, curățăm magazinul împreună cu agenția dumneavoastră și reînnoim ordonat cheile și accesurile.
Întrebări frecvente
Este Shopware 6 însuși afectat de PHP2Shell?
Vulnerabilitățile se află în PHP, nu în codul Shopware. Orice magazin Shopware 6 pe un PHP fără patch este, de aceea, potențial vulnerabil, indiferent de versiunea Shopware. O actualizare Shopware nu schimbă nimic în această privință.
Ce fișier din Shopware 6 este deosebit de critic după un atac?
Fișierul .env sau .env.local, cu accesul la baza de date și APP_SECRET. Cine a putut să îl citească cunoaște datele dumneavoastră de acces. În caz de suspiciune, aceste valori ar trebui reînnoite, în acord cu agenția dumneavoastră.
Ce sunt integrările din Shopware 6 și de ce să le verific?
Integrările sunt accesuri API pentru sisteme externe, precum gestiunea mărfurilor sau marketplace-urile. O integrare străină cu drepturi de administrator permite accesul complet la magazin prin API, fără ca vreun fișier să se afle pe server.