Ukratko: Shopware 5 PHP verzija nakon PHP2Shella najvažnije je pitanje. Mnogi od tih shopova rade na PHP-u 8.1 ili starijem, a za to PHP projekt više ne izdaje službena ažuriranja. Stoga Vam treba potvrđeni backport ili privremena zaštita te čvrst plan prelaska.
Zašto Shopware 5 shopovi zahtijevaju osobito pažljiv pregled
PHP2Shell obuhvaća dvije kritične ranjivosti u PHP-u, CVE-2026-109618 i CVE-2026-109619. Prema stručnom tisku pogođene su gotovo sve verzije sve do PHP-a 5.4. Službeni ispravci postoje samo za PHP 8.2 do 8.5, a za 7.4, 8.0 i 8.1 samo minimalni backportovi izvornog koda.
Shopware 5 prethodna je generacija Shopwarea 6. Upravo su tu ostali organski narasli shopovi s mnogo individualnih dodataka, često na verziji PHP-a koja je bila aktualna pri posljednjoj većoj preinaci. Prima li Vaša konkretna verzija Shopwarea 5 još sigurnosna ažuriranja od proizvođača, provjerite na shopware.com. Što vrijedi za stare verzije PHP-a, sažima stranica PHP 8.1 i starije.
Provjera Shopware 5 PHP verzije u backendu i na poslužitelju
U Shopware 5 backendu Postavke > Informacije o sustavu prikazuje okruženje poslužitelja uključujući verziju PHP-a i provjerava zahtjeve. To je verzija s kojom backend radi. Je li Vaš pružatelj hostinga ugradio backport, tamo ne vidite; broj može ostati isti iako je sustav zakrpan.
| Stanje PHP-a | Situacija kod PHP2Shella | Sljedeći korak |
|---|---|---|
| 8.2 do 8.5 | Službeni ispravak postoji | Ažuriranje, ponovno pokretanje, dokaz |
| 7.4, 8.0, 8.1 | Samo minimalni backportovi izvornog koda | Dati potvrditi backport, planirati prelazak |
| 7.3 i starije | Nema ispravka PHP projekta | Odmah privremena zaštita, ubrzati prelazak |
Koje verzije PHP-a podnose Vaša verzija Shopwarea 5 i Vaši dodaci, utvrđujete prema sistemskim zahtjevima proizvođača i testom na kopiji shopa.
Gdje se zlonamjerni kôd u Shopwareu 5 rado nalazi
- config.php u glavnom direktoriju: pristup bazi podataka u čistom tekstu.
- custom/plugins/ i engine/Shopware/Plugins/Community/ te Local/: novija i starija mjesta dodataka, često s vlastitim razvojima bez održavanja.
- themes/Frontend/: predlošci i JavaScript vlastite teme, omiljeni za skimmere u checkoutu.
- web/cache/: kompilirane datoteke teme koje se nakon manipulacije isporučuju svakom posjetitelju.
- media/ i files/: slike, preuzimanja i dokumenti, a ne PHP datoteke.
- var/log/: zapisnici koje biste trebali osigurati prije svake promjene.
Neopasna provjera PHP datoteka na mjestima gdje im nije mjesto:
find media files web/cache -type f -name "*.php"
find themes custom -name "*.php" -newermt "2026-10-17"
Backend se nalazi na /backend. Tamo provjerite upravljanje korisnicima na nepoznate račune i, ako je moguće, ograničite pristup na poznate mreže. I upravitelj dodataka zaslužuje pogled: nepoznati ili nedavno instalirani dodaci koje nitko nije naručio jasan su znak upozorenja.
Kod starih shopova pojavljuje se i praktičan problem. Često nitko više točno ne zna koji su dodaci individualno prilagođavani, a izvorna agencija više nije dostupna. Usporedba s originalnim paketima proizvođača dodataka tada je jedini pouzdan način prepoznavanja izmjena. Pritom odmah dokumentirajte i koji su dodaci shopu doista potrebni; to pomaže kasnije pri prelasku.
Ako Vaš Shopware 5 shop radi na PHP-u 8.1 ili starijem, a Vaš pružatelj hostinga ne može potvrditi backport, odmah provedite privremene mjere s php.net-a. BSI preporučuje privremeno isključiti web-poslužitelje s mreže ako ažuriranje nije odmah moguće.
Privremena zaštita do prelaska
Dok se PHP ne ažurira ili shop ne preseli, mjere s php.net-a smanjuju rizik, a da ne pružaju potpunu zaštitu. Pripadaju u konfiguraciju poslužitelja, a ne u .user.ini:
; postaviti u FPM poolu kao php_admin_value odnosno php_admin_flag
memory_limit = -1
post_max_size = 32M
upload_max_filesize = 16M
session.upload_progress.enabled = 0
Zatim ponovno pokrenite sve PHP procese. Prethodno postavljen filtar može dodatno pomoći; pojedinosti su na stranici Hitne mjere bez zakrpe.
Što Shopware 5 ažuriranje postiže, a što ne
Ažuriranje unutar Shopwarea 5 može zatvoriti poznate pogreške u shopu, a ponekad omogućiti i novije verzije PHP-a. Ne zakrpava PHP, ne uklanja strane datoteke i ne dokazuje da je shop čist. Prelazak na Shopware 6 projekt je s preuzimanjem podataka, novom temom i novim dodacima. Kako takve prelaske strukturiramo, opisuje PHP 8.1 i starije: migracija.
Rezultat zabilježite pisano: stanje PHP-a, potvrdu backporta i datum ponovnog pokretanja. Tu dokumentaciju trebate za upite osiguravatelja, pružatelja plaćanja ili službenika za zaštitu podataka.
Kako PHP SOS konkretno pomaže?
- Utvrđujemo verziju PHP-a, stanje paketa i situaciju s backportovima na Vašem Shopware 5 poslužitelju.
- Provodimo privremenu zaštitu u konfiguraciji poslužitelja i ponovno pokrećemo sve procese.
- Provjeravamo dodatke, temu, predmemoriju i korisnike na tragove napada.
- S Vama izrađujemo plan: nadogradnja PHP-a na Shopwareu 5 kao međukorak ili izravan prelazak.
Česta pitanja
Koju verziju PHP-a treba Shopware 5?
To ovisi o točnoj verziji Shopwarea 5. Provjerite sistemske zahtjeve u dokumentaciji na shopware.com za svoju instaliranu verziju. Za PHP2Shell presudno je prima li Vaša verzija PHP-a još sigurnosna ažuriranja.
Mogu li Shopware 5 jednostavno prebaciti na PHP 8.3?
Samo ako Vaša verzija Shopwarea i svi dodaci podržavaju tu verziju PHP-a. Inače prijete pogreške u checkoutu ili backendu. Prelazak isprobajte na kopiji shopa prije nego što ga pustite u rad.
Je li prelazak na Shopware 6 samo ažuriranje?
Ne. Shopware 6 nova je platforma s drukčijom tehnikom, drugim dodacima i drugim sustavom tema. Podaci se mogu preuzeti, ali dodaci i dizajn moraju se ponovno izraditi.
Što učiniti ako prelazak traje mjesecima?
Tada shopu do tada treba zakrpani PHP putem distribucije ili pružatelja hostinga, privremene mjere s php.net-a i po potrebi prethodno postavljen filtar. To smanjuje rizik, ali ne zamjenjuje prelazak.