Stručne: Zraniteľnosť Shopware 6, ktorú teraz hľadá veľa obchodníkov, je vlastne zraniteľnosť v PHP. Aktualizácie Shopware ju neuzatvárajú. Potrebujete záplatované PHP s reštartom všetkých procesov a potom by ste mali skontrolovať .env, custom/plugins, adresár public a integrácie API.
Čo PHP2Shell znamená pre Shopware 6
Shopware 6 stavia na PHP frameworku Symfony a väčšinou beží s PHP-FPM za Nginx alebo Apache. Zraniteľnosti CVE-2026-109618 a CVE-2026-109619 sa týkajú práve tohto režimu prevádzky. Podľa tímu PHP umožňujú spustenie škodlivého kódu na diaľku, bez prihlásenia do obchodu.
Útočník so spúšťaním kódu na serveri sa dostane ku všetkému, k čomu pristupuje samotný obchod: údaje zákazníkov, objednávky, faktúry, prístupové údaje k skladovému hospodárstvu a platobným službám. Technické pozadie vysvetľujeme na stránke Čo je PHP2Shell?.
Skontrolovať zraniteľnosť Shopware 6: ktoré PHP skutočne beží?
Shopware 6 sa často spravuje cez príkazový riadok, napríklad pomocou bin/console. Pritom ľahko vznikne chyba: php -v ukazuje verziu PHP príkazového riadku, nie nevyhnutne verziu PHP-FPM, ktoré vybavuje požiadavky obchodu. Na mnohých serveroch je paralelne nainštalovaných viac verzií PHP.
Spoľahlivý je údaj v hostingovom paneli pre konkrétnu doménu a potvrdenie poskytovateľa hostingu o stave balíkov. Opravené upstream verzie sú 8.5.12, 8.4.27, 8.3.36 a 8.2.35; backporty môžu niesť staršie čísla. Ktoré verzie PHP vaša verzia Shopware podporuje, skontrolujte podľa systémových požiadaviek v dokumentácii na shopware.com. Ako si to overíte sami, nájdete na stránke Správne skontrolovať verziu PHP a stav záplat.
Jeden bod sa pri Shopware 6 často prehliada: mnohé obchody spracúvajú frontu správ a plánované úlohy cez trvalo bežiace procesy na pozadí, napríklad bin/console messenger:consume pod správcom procesov. Tieto procesy načítajú PHP raz pri štarte. Po aktualizácii sa preto musí reštartovať nielen PHP-FPM, ale aj tieto workery. Inak časť obchodu naďalej pracuje so starým, zraniteľným PHP v pamäti.
Adresáre a súbory, ktoré by ste mali poznať
| Miesto | Obsah | Prečo je dôležité |
|---|---|---|
.env, .env.local |
Prístup k databáze, APP_SECRET, ďalšie kľúče |
Pri podozrení obnoviť |
public/ |
Koreň dokumentov s index.php, médiami, súbormi témy |
Ďalšie súbory PHP sú podozrivé |
public/theme/ |
Skompilované súbory JavaScript a CSS storefrontu | Miesto pre zavlečené skimmery |
custom/plugins/, custom/apps/ |
Rozšírenia | Zmenený kód pluginu |
files/ |
Súkromné súbory, ako sú faktúry a dodacie listy | Osobné údaje |
var/log/ |
Protokoly obchodu | Zabezpečiť stopy |
Neškodné prvé kontroly:
# Zobraziť nainštalované pluginy s verziou a stavom
bin/console plugin:list
# Vypísať súbory PHP vo verejnom adresári
find public -type f -name "*.php"
# Zobraziť známe zraniteľnosti v závislostiach Composeru
composer audit
V priečinku public/ by malo byť len niekoľko známych súborov PHP. Všetko neznáme treba zálohovať a preskúmať, nie hneď mazať.
V administrácii pod Nastavenia > Systém skontrolujte oblasti „Používatelia a oprávnenia“ a „Integrácie“. Neznámi používatelia alebo integrácie API sú zadné vrátka, ktoré každé skenovanie súborov prehliadne.
Admin prístup, pluginy a aplikácie ako riziko
Administrácia je štandardne pod /admin. Chráňte ju osobnými účtami, silným prihlásením a, ak je to možné, obmedzením prístupu na známe siete. Integrácie pre skladové hospodárstvo, marketplace alebo prepravcov by mali mať iba tie oprávnenia, ktoré skutočne potrebujú.
Pluginy zo storu a vlastné vývoje prinášajú vlastný kód PHP, aplikácie navyše webhooky na externé servery. Čím viac rozšírení, tým väčšia plocha útoku a tým náročnejšia každá aktualizácia PHP. Pluginy, ktoré sa už nepoužívajú, úplne odstráňte.
Čo aktualizácia Shopware dokáže a čo nie
Aktualizácia Shopware alebo pluginu uzatvára známe chyby v tomto kóde. Nedokáže:
- záplatovať PHP na serveri,
- reštartovať staré procesy PHP-FPM,
- spoľahlivo odstrániť cudzie súbory v
public/alebo zmanipulované súbory témy, - zmazať cudzích používateľov alebo integrácie,
- dokázať, že sa pred záplatou nič nestalo.
Po aktualizácii PHP na novú hlavnú verziu by ste mali znovu vytvoriť cache a tému a obchod skontrolovať v testovacom prostredí. Prechod PHP s dokladom na požiadanie prevezme naša služba záplatovania PHP.
Shopware 6 u väčších obchodníkov často beží na viacerých aplikačných serveroch. Potom musí byť záplatovaný a reštartovaný každý server, aj tie, ktoré iba spracúvajú úlohy na pozadí. Ak obchod prevádzkuje poskytovateľ ako spravovanú platformu, mal by vám potvrdiť stav pre všetky uzly.
Ako konkrétne pomáha PHP SOS?
- Zistíme, ktoré PHP váš obchod cez FPM skutočne používa, a záplatu s reštartom vyjasníme s poskytovateľom hostingu alebo agentúrou.
- Zálohujeme logy od 20. 10. 2026, databázu a súbory.
- Kontrolujeme
public/, skompilované súbory témy, pluginy, používateľov a integrácie na nezrovnalosti. - Pri náleze obchod vyčistíme spoločne s vašou agentúrou a kľúče a prístupy obnovíme usporiadane.
Časté otázky
Týka sa PHP2Shell samotného Shopware 6?
Zraniteľnosti sú v PHP, nie v kóde Shopware. Každý obchod na Shopware 6 s nezáplatovaným PHP je preto potenciálne napadnuteľný, bez ohľadu na verziu Shopware. Aktualizácia Shopware na tom nič nemení.
Ktorý súbor v Shopware 6 je po útoku obzvlášť kritický?
Súbor .env alebo .env.local s prístupom k databáze a APP_SECRET. Kto ho mohol čítať, pozná vaše prístupové údaje. Pri podozrení by sa tieto hodnoty mali obnoviť, v dohode s vašou agentúrou.
Čo sú integrácie v Shopware 6 a prečo ich kontrolovať?
Integrácie sú prístupy API pre externé systémy, ako sú skladové hospodárstvo alebo marketplace. Cudzia integrácia s právami administrátora umožňuje cez API plný prístup k obchodu, aj keď na serveri nie je žiadny súbor.