# Shopware 5 PHP-version efter PHP2Shell: skydda gamla butiker > Shopware 5 körs ofta på en gammal PHP-version. Så kontrollerar ni läget, stänger PHP2Shell med tillfälligt skydd och planerar bytet på ett ordnat sätt. Källa: https://phpsos.de/sv/plattformen/shopware-5/ Aktualitet: 2026-10-25 Leverantör: PHP SOS, PHP-nödhjälp och serversäkerhet. Omedelbar hjälp via WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20beh%C3%B6ver%20hj%C3%A4lp%20med%20v%C3%A5r%20PHP-server.%20F%C3%B6retag%3A%20%E2%80%A6%20Webbplats%3A%20%E2%80%A6 **Kort sagt:** Shopware 5:s PHP-version är efter PHP2Shell den viktigaste frågan. Många av dessa butiker körs på PHP 8.1 eller äldre, och för dem finns inga officiella uppdateringar från PHP-projektet längre. Ni behöver därför en bekräftad backport eller ett tillfälligt skydd samt en fast plan för bytet. ## Varför Shopware 5-butiker måste granskas extra noga PHP2Shell omfattar två kritiska sårbarheter i PHP, CVE-2026-109618 och CVE-2026-109619. Enligt facktidningarna berörs nästan alla versioner ända tillbaka till PHP 5.4. Officiella rättningar finns bara för PHP 8.2 till 8.5, för 7.4, 8.0 och 8.1 endast minimala backports i källkoden. Shopware 5 är föregångaren till Shopware 6. Framför allt över tid vuxna butiker med många individuella plugin har blivit kvar där, ofta på den PHP-version som var aktuell vid den senaste stora ombyggnaden. Om just er Shopware 5-version fortfarande får säkerhetsuppdateringar från tillverkaren kontrollerar ni på shopware.com. Vad som gäller för gamla PHP-versioner sammanfattar [PHP 8.1 och äldre](https://phpsos.de/sv/php2shell/php-8-1-und-aelter/). ## Kontrollera Shopware 5:s PHP-version i backend och på servern I Shopware 5-backend visar **Inställningar > Systeminfo** servermiljön inklusive PHP-version och kontrollerar kraven. Det är den version som backend körs med. Om ert webbhotell har installerat en backport ser ni inte där; numret kan vara detsamma trots att systemet är patchat. | PHP-status | Läget vid PHP2Shell | Nästa steg | |---|---|---| | 8.2 till 8.5 | Officiell rättning finns | Uppdatering, omstart, verifiering | | 7.4, 8.0, 8.1 | Endast minimala backports i källkoden | Låt backporten bekräftas, planera bytet | | 7.3 och äldre | Ingen rättning från PHP-projektet | Tillfälligt skydd omedelbart, tidigarelägg bytet | Vilka PHP-versioner er Shopware 5-version och era plugin klarar tar ni reda på enligt tillverkarens systemkrav och genom ett test i en kopia av butiken. ## Var skadlig kod gärna ligger i Shopware 5 - **config.php** i rotkatalogen: databasåtkomst i klartext. - **custom/plugins/** och **engine/Shopware/Plugins/Community/** samt **Local/**: nyare och äldre plugin-platser, ofta med egenutvecklingar utan underhåll. - **themes/Frontend/**: mallar och JavaScript i det egna temat, populärt för skimmers i kassan. - **web/cache/**: kompilerade temafiler som levereras till varje besökare efter en manipulation. - **media/** och **files/**: bilder, nedladdningar och dokument, inga PHP-filer. - **var/log/**: loggar som ni bör säkra före varje ändring. Ofarlig kontroll av PHP-filer på platser där inga ska finnas: ```bash find media files web/cache -type f -name "*.php" find themes custom -name "*.php" -newermt "2026-10-17" ``` Backend ligger under `/backend`. Kontrollera där användarhanteringen med avseende på okända konton och begränsa åtkomsten om möjligt till kända nät. Även pluginhanteraren förtjänar en titt: okända eller nyligen installerade plugin som ingen har beställt är en tydlig varningssignal. Hos gamla butiker tillkommer ett praktiskt problem. Ofta vet ingen längre exakt vilka plugin som har anpassats individuellt, och den ursprungliga byrån går inte att nå. En jämförelse med plugin-tillverkarnas originalpaket är då det enda tillförlitliga sättet att upptäcka förändringar. Dokumentera vid samma tillfälle vilka plugin butiken verkligen behöver; det hjälper senare vid bytet. > **Agera direkt:** > Körs er Shopware 5-butik på PHP 8.1 eller äldre och kan ert webbhotell inte bekräfta någon backport, ska ni genomföra de tillfälliga åtgärderna från php.net omedelbart. BSI (den tyska federala myndigheten för informationssäkerhet) rekommenderar att webbservrar tillfälligt tas offline om en uppdatering inte är möjlig direkt. ## Tillfälligt skydd fram till bytet Fram till dess att PHP är uppdaterat eller butiken har flyttats minskar åtgärderna från php.net risken, utan att ge fullständigt skydd. De hör hemma i serverkonfigurationen, inte i `.user.ini`: ```ini ; sätt i FPM-poolen som php_admin_value respektive php_admin_flag memory_limit = -1 post_max_size = 32M upload_max_filesize = 16M session.upload_progress.enabled = 0 ``` Starta därefter om alla PHP-processer. Ett förkopplat filter kan ge ytterligare hjälp; detaljer finns under [Akuta åtgärder utan patch](https://phpsos.de/sv/php2shell/sofortmassnahmen-ohne-patch/). ## Vad en Shopware 5-uppdatering klarar och inte klarar En uppdatering inom Shopware 5 kan stänga kända fel i butiken och ibland möjliggöra nyare PHP-versioner. Den patchar inte PHP, tar inte bort främmande filer och bevisar inte att butiken är ren. Bytet till Shopware 6 är ett projekt med dataöverföring, nytt tema och nya plugin. Hur vi strukturerar sådana byten beskrivs i [PHP 8.1 och äldre: migrering](https://phpsos.de/sv/leistungen/php-migration-legacy/). Dokumentera resultatet skriftligt: PHP-status, backport-bekräftelse och datum för omstarten. Den dokumentationen behöver ni vid frågor från försäkringsbolag, betalleverantör eller dataskyddsombud. ## Hur hjälper PHP SOS konkret? - Vi tar reda på PHP-version, paketstatus och backport-läge för er Shopware 5-server. - Vi inför tillfälligt skydd i serverkonfigurationen och startar om alla processer. - Vi kontrollerar plugin, tema, cache och användare med avseende på spår av en attack. - Vi tar tillsammans med er fram en färdplan: PHP-uppgradering av Shopware 5 som mellansteg eller direkt byte. ## Vanliga frågor **Vilken PHP-version behöver Shopware 5?** Det beror på den exakta Shopware 5-versionen. Kontrollera systemkraven i dokumentationen på shopware.com för er installerade version. Avgörande för PHP2Shell är om er PHP-version fortfarande får säkerhetsuppdateringar. **Kan jag helt enkelt byta Shopware 5 till PHP 8.3?** Bara om er Shopware-version och alla plugin stöder den PHP-versionen. Annars riskerar ni fel i kassan eller i backend. Testa bytet i en kopia av butiken innan ni sätter det i drift. **Är ett byte till Shopware 6 bara en uppdatering?** Nej. Shopware 6 är en ny plattform med annan teknik, andra plugin och ett annat temasystem. Data kan tas över, men plugin och design måste göras om. **Vad gör man om bytet tar flera månader?** Då behöver butiken till dess ett patchat PHP via distributionen eller webbhotellet, de tillfälliga åtgärderna från php.net och vid behov ett förkopplat filter. Det minskar risken men ersätter inte bytet. ## Källor - [php.net: säkerhetsmeddelanden](https://www.php.net/) - [PHP-versioner som stöds](https://www.php.net/supported-versions.php) - [Shopware](https://www.shopware.com/) - [TechTarget: PHP2Shell](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)