Stručně: Zranitelnost Shopware 6, kterou nyní mnoho obchodníků hledá, je ve skutečnosti zranitelnost v PHP. Aktualizace Shopware ji neuzavřou. Potřebujete záplatované PHP s restartem všech procesů a poté byste měli zkontrolovat .env, custom/plugins, adresář public a integrace API.
Co PHP2Shell znamená pro Shopware 6
Shopware 6 je postaven na frameworku PHP Symfony a obvykle běží s PHP-FPM za Nginx nebo Apache. Zranitelnosti CVE-2026-109618 a CVE-2026-109619 se týkají právě tohoto provozního režimu. Podle týmu PHP umožňují spuštění škodlivého kódu na dálku, bez přihlášení do e-shopu.
Útočník s možností spouštět kód na serveru dosáhne na vše, k čemu má přístup sám e-shop: data zákazníků, objednávky, fakturační dokumenty, přístupové údaje ke skladovým systémům a poskytovatelům plateb. Technické pozadí vysvětlujeme v článku Co je PHP2Shell?.
Kontrola zranitelnosti Shopware 6: které PHP skutečně běží?
Shopware 6 se hodně spravuje z příkazové řádky, například pomocí bin/console. Snadno se tak stane chyba: php -v ukazuje verzi PHP příkazové řádky, nikoli nutně verzi PHP-FPM, které zpracovává požadavky e-shopu. Na mnoha serverech je paralelně nainstalováno více verzí PHP.
Spolehlivé je údaj v hostingovém panelu pro konkrétní doménu a potvrzení poskytovatele hostingu o stavu balíčku. Opravené verze upstreamu jsou 8.5.12, 8.4.27, 8.3.36 a 8.2.35; backporty mohou nést starší čísla. Které verze PHP vaše verze Shopware podporuje, ověříte podle systémových požadavků v dokumentaci na shopware.com. Jak se podívat sami, popisuje článek Jak správně ověřit verzi PHP a stav záplaty.
Jeden bod se u Shopware 6 často přehlíží: mnoho e-shopů zpracovává frontu zpráv a plánované úlohy v trvale běžících procesech na pozadí, například bin/console messenger:consume pod správcem procesů. Tyto procesy načtou PHP jednou při startu. Po aktualizaci proto musí být restartováno nejen PHP-FPM, ale také tito pracovníci (workers). Jinak část e-shopu dál pracuje se starým, zranitelným PHP v paměti.
Adresáře a soubory, které byste měli znát
| Místo | Obsah | Proč je důležité |
|---|---|---|
.env, .env.local |
Přístup k databázi, APP_SECRET, další klíče |
Při podezření obnovit |
public/ |
Kořen dokumentů s index.php, média, soubory motivu |
Další soubory PHP jsou podezřelé |
public/theme/ |
Zkompilované soubory JavaScript a CSS storefrontu | Místo pro vložené skimmery |
custom/plugins/, custom/apps/ |
Rozšíření | Změněný kód pluginu |
files/ |
Soukromé soubory, například faktury a dodací listy | Osobní údaje |
var/log/ |
Protokoly e-shopu | Zajistit stopy |
Neškodné první kontroly:
# Zobrazit nainstalované pluginy s verzí a stavem
bin/console plugin:list
# Vypsat soubory PHP ve veřejném adresáři
find public -type f -name "*.php"
# Zobrazit známé zranitelnosti v závislostech Composeru
composer audit
V adresáři public/ by mělo ležet jen málo známých souborů PHP. Vše neznámé patří zálohovat a prověřit, ne hned mazat.
V administraci zkontrolujte v nabídce Nastavení > Systém oblasti „Uživatelé a oprávnění“ a „Integrace“. Neznámí uživatelé nebo integrace API jsou zadní vrátka, která každá kontrola souborů přehlédne.
Přístup správce, pluginy a aplikace jako riziko
Administrace leží standardně na adrese /admin. Chraňte ji osobními účty, silným přihlášením a pokud možno omezením přístupu na známé sítě. Integrace pro skladové systémy, tržiště nebo dopravce by měly mít jen ta práva, která skutečně potřebují.
Pluginy ze storu a vlastní vývoj přinášejí vlastní kód PHP, aplikace navíc webhooky na externí servery. Čím více rozšíření, tím větší plocha pro útok a tím náročnější každý upgrade PHP. Pluginy, které se už nepoužívají, odstraňte úplně.
Co aktualizace Shopware zvládne a co ne
Aktualizace Shopware nebo pluginu uzavře známé chyby v tomto kódu. Nedokáže:
- záplatovat PHP na serveru,
- restartovat staré procesy PHP-FPM,
- spolehlivě odstranit cizí soubory v
public/ani zmanipulované soubory motivu, - smazat cizí uživatele nebo integrace,
- prokázat, že se před záplatou nic nestalo.
Po aktualizaci PHP na novou hlavní verzi byste měli znovu vytvořit cache a motiv a e-shop otestovat v testovacím prostředí. Přechod PHP s dokladem na přání převezme naše služba záplatování PHP.
Shopware 6 u větších obchodníků často běží na více aplikačních serverech. Pak musí být záplatován a restartován každý server, i ty, které zpracovávají jen úlohy na pozadí. Pokud e-shop provozuje poskytovatel jako spravovanou platformu, měl by vám potvrdit stav všech uzlů.
Jak konkrétně pomáhá PHP SOS?
- Zjistíme, které PHP váš e-shop přes FPM skutečně používá, a s poskytovatelem hostingu nebo agenturou ujasníme záplatu a restart.
- Zálohujeme logy od 20. 10. 2026, databázi a soubory.
- Kontrolujeme
public/, zkompilované soubory motivu, pluginy, uživatele a integrace, zda nevykazují nápadnosti. - Při nálezu e-shop vyčistíme společně s vaší agenturou a klíče a přístupy obnovíme uspořádaně.
Časté dotazy
Týká se PHP2Shell samotného Shopware 6?
Zranitelnosti jsou v PHP, ne v kódu Shopware. Každý e-shop na Shopware 6 s nezáplatovaným PHP je proto potenciálně napadnutelný, bez ohledu na verzi Shopware. Aktualizace Shopware na tom nic nemění.
Který soubor v Shopware 6 je po útoku obzvlášť kritický?
Soubor .env nebo .env.local s přístupem k databázi a APP_SECRET. Kdo jej mohl číst, zná vaše přístupové údaje. Při podezření by se tyto hodnoty měly obnovit, ve shodě s vaší agenturou.
Co jsou integrace v Shopware 6 a proč je kontrolovat?
Integrace jsou přístupy API pro externí systémy, například skladové a účetní systémy nebo tržiště. Cizí integrace s právy administrátora umožňuje plný přístup k e-shopu přes API, aniž by na serveru ležel nějaký soubor.