# Shopware 5 a verze PHP po PHP2Shell: jak zabezpečit staré e-shopy > Shopware 5 často běží na staré verzi PHP. Zjistěte stav, uzavřete PHP2Shell přechodnou ochranou a připravte přechod bez problémů. Zdroj: https://phpsos.de/cs/plattformen/shopware-5/ Stav: 25.10.2026 Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6 **Stručně:** Verze PHP u Shopware 5 je po PHP2Shell nejdůležitější otázkou. Mnoho těchto e-shopů běží na PHP 8.1 nebo starším a pro ně už projekt PHP nevydává oficiální aktualizace. Potřebujete proto potvrzený backport nebo přechodnou ochranu a pevný plán přechodu. ## Proč si majitelé e-shopů na Shopware 5 musí dávat obzvlášť pozor PHP2Shell zahrnuje dvě kritické zranitelnosti v PHP, CVE-2026-109618 a CVE-2026-109619. Podle odborného tisku jsou postiženy téměř všechny verze zpět až po PHP 5.4. Oficiální opravy existují jen pro PHP 8.2 až 8.5, pro 7.4, 8.0 a 8.1 pouze minimální zdrojové backporty. Shopware 5 je předchozí generace Shopware 6. Zejména vyrostlé e-shopy s mnoha individuálními pluginy tam zůstaly, často na verzi PHP, která byla aktuální při poslední velké přestavbě. Zda vaše konkrétní verze Shopware 5 ještě dostává bezpečnostní aktualizace od výrobce, ověřte na shopware.com. Co platí pro staré verze PHP, shrnuje článek [PHP 8.1 a starší](https://phpsos.de/cs/php2shell/php-8-1-und-aelter/). ## Kontrola verze PHP u Shopware 5 v backendu a na serveru V backendu Shopware 5 zobrazuje **Nastavení > Systémové informace** prostředí serveru včetně verze PHP a kontroluje požadavky. To je verze, se kterou běží backend. Zda poskytovatel hostingu nasadil backport, tam neuvidíte; číslo může zůstat stejné, i když je záplatováno. | Stav PHP | Situace u PHP2Shell | Další krok | |---|---|---| | 8.2 až 8.5 | Oficiální oprava existuje | Aktualizace, restart, doklad | | 7.4, 8.0, 8.1 | Jen minimální zdrojové backporty | Nechat potvrdit backport, naplánovat přechod | | 7.3 a starší | Žádná oprava od projektu PHP | Ihned přechodná ochrana, přechod urychlit | Které verze PHP vaše verze Shopware 5 a vaše pluginy snesou, zjistíte podle systémových požadavků výrobce a testem na kopii e-shopu. ## Kde se škodlivý kód v Shopware 5 rád ukrývá - **config.php** v hlavním adresáři: přístup k databázi v čitelné podobě. - **custom/plugins/** a **engine/Shopware/Plugins/Community/** i **Local/**: novější a starší umístění pluginů, často s vlastním vývojem bez údržby. - **themes/Frontend/**: šablony a JavaScript vlastního motivu, oblíbené pro skimmery v pokladně. - **web/cache/**: zkompilované soubory motivu, které se po zmanipulování doručují každému návštěvníkovi. - **media/** a **files/**: obrázky, soubory ke stažení a dokumenty, žádné soubory PHP. - **var/log/**: protokoly, které byste měli před každou změnou zálohovat. Neškodná kontrola souborů PHP na místech, kam nepatří: ```bash find media files web/cache -type f -name "*.php" find themes custom -name "*.php" -newermt "2026-10-17" ``` Backend leží na adrese `/backend`. Zkontrolujte tam správu uživatelů, zda neobsahuje neznámé účty, a přístup pokud možno omezte na známé sítě. Pozornost si zaslouží i správce pluginů: neznámé nebo nedávno nainstalované pluginy, které nikdo neobjednal, jsou zřetelným varovným signálem. U starých e-shopů přistupuje praktický problém. Často už nikdo přesně neví, které pluginy byly individuálně upraveny, a původní agentura není k zastižení. Porovnání s originálními balíčky výrobců pluginů je pak jedinou spolehlivou cestou, jak změny rozpoznat. Při této příležitosti si rovnou zdokumentujte, které pluginy e-shop skutečně potřebuje; pomůže vám to při pozdějším přechodu. > **Jednejte ihned:** > Pokud váš e-shop na Shopware 5 běží na PHP 8.1 nebo starším a poskytovatel hostingu nedokáže potvrdit backport, ihned zaveďte přechodná opatření z php.net. BSI (německý spolkový úřad pro informační bezpečnost) doporučuje webové servery dočasně odpojit od sítě, pokud aktualizace není okamžitě možná. ## Přechodná ochrana do přechodu Dokud se PHP neaktualizuje nebo se e-shop nepřestěhuje, opatření z php.net riziko snižují, aniž by poskytovala úplnou ochranu. Patří do konfigurace serveru, ne do `.user.ini`: ```ini ; nastavit v poolu FPM jako php_admin_value, resp. php_admin_flag memory_limit = -1 post_max_size = 32M upload_max_filesize = 16M session.upload_progress.enabled = 0 ``` Poté restartujte všechny procesy PHP. Navíc může pomoci předřazený filtr; podrobnosti najdete v článku [Okamžitá opatření bez záplaty](https://phpsos.de/cs/php2shell/sofortmassnahmen-ohne-patch/). ## Co aktualizace Shopware 5 zvládne a co ne Aktualizace v rámci Shopware 5 může uzavřít známé chyby v e-shopu a někdy umožní novější verze PHP. Nezáplatuje PHP, neodstraní cizí soubory a neprokazuje, že je e-shop čistý. Přechod na Shopware 6 je projekt s převzetím dat, novým motivem a novými pluginy. Jak takové přechody strukturujeme, popisuje [PHP 8.1 a starší: migrace](https://phpsos.de/cs/leistungen/php-migration-legacy/). Výsledek si zaznamenejte písemně: stav PHP, potvrzení backportu a datum restartu. Tuto dokumentaci budete potřebovat při dotazech pojišťovny, poskytovatele plateb nebo pověřence pro ochranu osobních údajů. ## Jak konkrétně pomáhá PHP SOS? - Zjistíme verzi PHP, stav balíčků a situaci s backporty na vašem serveru se Shopware 5. - Zavedeme přechodnou ochranu v konfiguraci serveru a restartujeme všechny procesy. - Zkontrolujeme pluginy, motiv, cache a uživatele, zda nenesou stopy útoku. - S vámi vypracujeme plán: upgrade PHP u Shopware 5 jako mezikrok, nebo přímý přechod. ## Časté dotazy **Jakou verzi PHP potřebuje Shopware 5?** Záleží na přesné verzi Shopware 5. Ověřte systémové požadavky v dokumentaci na shopware.com pro vaši nainstalovanou verzi. Pro PHP2Shell je rozhodující, zda vaše verze PHP ještě dostává bezpečnostní aktualizace. **Mohu Shopware 5 jednoduše přepnout na PHP 8.3?** Jen pokud tuto verzi PHP podporuje vaše verze Shopware a všechny pluginy. Jinak hrozí chyby v pokladně nebo v backendu. Přechod vyzkoušejte na kopii e-shopu, než jej nasadíte naostro. **Je přechod na Shopware 6 jen aktualizace?** Ne. Shopware 6 je nová platforma s jinou technikou, jinými pluginy a jiným systémem motivů. Data lze převzít, ale pluginy a design je nutné vytvořit znovu. **Co dělat, když přechod trvá měsíce?** Pak potřebuje e-shop do té doby záplatované PHP z distribuce nebo od poskytovatele hostingu, přechodná opatření z php.net a případně předřazený filtr. To riziko snižuje, přechod ale nenahrazuje. ## Zdroje - [php.net: bezpečnostní oznámení](https://www.php.net/) - [Podporované verze PHP](https://www.php.net/supported-versions.php) - [Shopware](https://www.shopware.com/) - [TechTarget: PHP2Shell](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)