Na kratko: Različica PHP za Shopware 5 je po PHP2Shell najpomembnejše vprašanje. Številne takšne trgovine tečejo na PHP 8.1 ali starejšem, projekt PHP zanje nima več uradnih posodobitev. Zato potrebujete potrjen backport ali vmesno zaščito in trden načrt za prehod.
Zakaj morajo trgovine Shopware 5 pogledati še posebej natančno
PHP2Shell obsega dve kritični ranljivosti v PHP, CVE-2026-109618 in CVE-2026-109619. Po poročilih strokovnega tiska so prizadete skoraj vse različice nazaj do PHP 5.4. Uradni popravki obstajajo samo za PHP 8.2 do 8.5, za 7.4, 8.0 in 8.1 le minimalni backporti izvorne kode.
Shopware 5 je predhodnica Shopware 6. Prav organsko zrasle trgovine z veliko prilagojenimi vtičniki so ostale pri njem, pogosto na različici PHP, ki je bila aktualna ob zadnji večji prenovi. Ali vaša konkretna različica Shopware 5 od proizvajalca še prejema varnostne posodobitve, preverite na shopware.com. Kaj velja za stare različice PHP, povzema prispevek PHP 8.1 in starejši.
Preverite različico PHP za Shopware 5 v skrbniškem delu in na strežniku
V skrbniškem delu Shopware 5 Nastavitve > Sistemske informacije prikažejo strežniško okolje, vključno z različico PHP, in preverijo zahteve. To je različica, s katero teče skrbniški del. Ali je vaš ponudnik gostovanja namestil backport, tam ne vidite; številka lahko ostane enaka, čeprav je popravljeno.
| Stanje PHP | Položaj pri PHP2Shell | Naslednji korak |
|---|---|---|
| 8.2 do 8.5 | Uradni popravek obstaja | Posodobitev, ponovni zagon, dokazilo |
| 7.4, 8.0, 8.1 | Samo minimalni backporti izvorne kode | Dati potrditi backport, načrtovati prehod |
| 7.3 in starejši | Brez popravka projekta PHP | Takoj vmesna zaščita, prehod pospešiti |
Katere različice PHP prenesejo vaša različica Shopware 5 in vaši vtičniki, ugotovite po sistemskih zahtevah proizvajalca in s preizkusom na kopiji trgovine.
Kje se škodljiva koda rada skriva v Shopware 5
- config.php v glavni mapi: dostop do podatkovne zbirke v čistopisu.
- custom/plugins/ in engine/Shopware/Plugins/Community/ ter Local/: novejša in starejša mesta vtičnikov, pogosto z lastnimi razvoji brez vzdrževanja.
- themes/Frontend/: predloge in JavaScript lastne teme, priljubljeno mesto za skimmerje v blagajni.
- web/cache/: prevedene datoteke teme, ki se po manipulaciji dostavijo vsakemu obiskovalcu.
- media/ in files/: slike, prenosi in dokumenti, ne datoteke PHP.
- var/log/: dnevniki, ki jih morate zavarovati pred vsako spremembo.
Neškodljiv pregled datotek PHP na mestih, kamor ne sodijo:
find media files web/cache -type f -name "*.php"
find themes custom -name "*.php" -newermt "2026-10-17"
Skrbniški del je pod /backend. Tam preglejte upravljanje uporabnikov glede neznanih računov in po možnosti omejite dostop na znana omrežja. Pogleda je vreden tudi upravitelj vtičnikov: neznani ali pred kratkim nameščeni vtičniki, ki jih nihče ni naročil, so jasen opozorilni znak.
Pri starih trgovinah se pojavi še praktična težava. Pogosto nihče več natančno ne ve, kateri vtičniki so bili individualno prilagojeni, prvotna agencija pa ni več dosegljiva. Primerjava z izvirnimi paketi proizvajalcev vtičnikov je takrat edina zanesljiva pot do prepoznavanja sprememb. Ob tej priložnosti takoj dokumentirajte tudi, katere vtičnike trgovina res potrebuje; to pozneje pomaga pri prehodu.
Če vaša trgovina Shopware 5 teče na PHP 8.1 ali starejšem in ponudnik gostovanja ne more potrditi backporta, takoj izvedite vmesne ukrepe z php.net. BSI (nemški zvezni urad za informacijsko varnost) priporoča, da se spletne strežnike začasno odklopi z omrežja, če posodobitev ni takoj mogoča.
Vmesna zaščita do prehoda
Dokler PHP ni posodobljen ali trgovina preseljena, ukrepi z php.net zmanjšajo tveganje, ne da bi nudili popolno zaščito. Sodijo v konfiguracijo strežnika, ne v .user.ini:
; v poolu FPM nastavi kot php_admin_value oziroma php_admin_flag
memory_limit = -1
post_max_size = 32M
upload_max_filesize = 16M
session.upload_progress.enabled = 0
Nato znova zaženite vse procese PHP. Dodatno lahko pomaga filter pred trgovino; podrobnosti so v prispevku Takojšnji ukrepi brez popravka.
Kaj posodobitev Shopware 5 zmore in česa ne
Posodobitev znotraj Shopware 5 lahko zapre znane napake v trgovini in včasih omogoči novejše različice PHP. PHP ne popravi, tujih datotek ne odstrani in ne dokazuje, da je trgovina čista. Prehod na Shopware 6 je projekt s prenosom podatkov, novo temo in novimi vtičniki. Kako take prehode strukturiramo, opisuje prispevek PHP 8.1 in starejši: migracija.
Rezultat zapišite: stanje PHP, potrditev backporta in datum ponovnega zagona. To dokumentacijo potrebujete ob vprašanjih zavarovalnice, ponudnika plačil ali pooblaščenca za varstvo podatkov.
Kako PHP SOS pomaga konkretno?
- Ugotovimo različico PHP, stanje paketa in položaj backportov na vašem strežniku Shopware 5.
- Vmesno zaščito izvedemo v konfiguraciji strežnika in znova zaženemo vse procese.
- Vtičnike, temo, predpomnilnik in uporabnike preverimo glede sledi napada.
- Z vami pripravimo načrt: nadgradnja PHP na Shopware 5 kot vmesni korak ali neposreden prehod.
Pogosta vprašanja
Katero različico PHP potrebuje Shopware 5?
To je odvisno od natančne različice Shopware 5. Za nameščeno različico preverite sistemske zahteve v dokumentaciji na shopware.com. Za PHP2Shell je odločilno, ali vaša različica PHP še prejema varnostne posodobitve.
Ali lahko Shopware 5 preprosto preklopim na PHP 8.3?
Samo če to različico PHP podpirata vaša različica Shopware in vsi vtičniki. Sicer grozijo napake v blagajni ali v skrbniškem delu. Prehod preizkusite na kopiji trgovine, preden ga vklopite v živo.
Ali je prehod na Shopware 6 samo posodobitev?
Ne. Shopware 6 je nova platforma z drugačno tehniko, drugimi vtičniki in drugačnim sistemom tem. Podatke je mogoče prenesti, vtičnike in oblikovanje pa je treba izvesti znova.
Kaj storiti, če prehod traja mesece?
Takrat potrebuje trgovina do takrat popravljen PHP prek distribucije ali ponudnika gostovanja, vmesne ukrepe z php.net in po potrebi filter pred trgovino. To zmanjša tveganje, prehoda pa ne nadomešča.