Kurz gesagt: Die Shopware 5 PHP-Version ist nach PHP2Shell die wichtigste Frage. Viele dieser Shops laufen auf PHP 8.1 oder älter, und dafür gibt es vom PHP-Projekt keine offiziellen Updates mehr. Sie brauchen daher einen bestätigten Backport oder Übergangsschutz und einen festen Plan für den Umstieg.
Warum Shopware-5-Shops besonders genau hinsehen müssen
PHP2Shell umfasst zwei kritische Lücken in PHP, CVE-2026-109618 und CVE-2026-109619. Laut Fachpresse sind nahezu alle Versionen bis zurück zu PHP 5.4 betroffen. Offizielle Korrekturen gibt es nur für PHP 8.2 bis 8.5, für 7.4, 8.0 und 8.1 lediglich minimale Quell-Backports.
Shopware 5 ist die Vorgängergeneration von Shopware 6. Gerade gewachsene Shops mit vielen individuellen Plugins sind dort geblieben, oft auf der PHP-Version, die beim letzten großen Umbau aktuell war. Ob Ihre konkrete Shopware-5-Version noch Sicherheitsupdates vom Hersteller erhält, prüfen Sie auf shopware.com. Was für alte PHP-Versionen gilt, fasst PHP 8.1 und älter zusammen.
Shopware 5 PHP-Version im Backend und auf dem Server prüfen
Im Shopware-5-Backend zeigt Einstellungen > Systeminfo die Serverumgebung einschließlich PHP-Version und prüft die Anforderungen. Das ist die Version, mit der das Backend läuft. Ob Ihr Hoster einen Backport eingespielt hat, sehen Sie dort nicht; die Nummer kann gleich bleiben, obwohl gepatcht ist.
| PHP-Stand | Lage bei PHP2Shell | Nächster Schritt |
|---|---|---|
| 8.2 bis 8.5 | Offizielle Korrektur vorhanden | Update, Neustart, Nachweis |
| 7.4, 8.0, 8.1 | Nur minimale Quell-Backports | Backport bestätigen lassen, Umstieg planen |
| 7.3 und älter | Keine Korrektur vom PHP-Projekt | Übergangsschutz sofort, Umstieg vorziehen |
Welche PHP-Versionen Ihre Shopware-5-Version und Ihre Plugins vertragen, ermitteln Sie laut Systemanforderungen des Herstellers und durch einen Test in einer Kopie des Shops.
Wo Schadcode in Shopware 5 gern liegt
- config.php im Hauptverzeichnis: Datenbankzugang im Klartext.
- custom/plugins/ und engine/Shopware/Plugins/Community/ sowie Local/: neuere und ältere Plugin-Orte, oft mit Eigenentwicklungen ohne Pflege.
- themes/Frontend/: Templates und JavaScript des eigenen Themes, beliebt für Skimmer im Checkout.
- web/cache/: kompilierte Theme-Dateien, die nach Manipulation an jeden Besucher ausgeliefert werden.
- media/ und files/: Bilder, Downloads und Dokumente, keine PHP-Dateien.
- var/log/: Protokolle, die Sie vor jeder Änderung sichern sollten.
Ungefährliche Prüfung auf PHP-Dateien an Orten, wo keine hingehören:
find media files web/cache -type f -name "*.php"
find themes custom -name "*.php" -newermt "2026-10-17"
Das Backend liegt unter /backend. Prüfen Sie dort die Benutzerverwaltung auf unbekannte Konten und schränken Sie den Zugriff wenn möglich auf bekannte Netze ein. Auch der Plugin-Manager verdient einen Blick: Unbekannte oder kürzlich installierte Plugins, die niemand beauftragt hat, sind ein deutliches Warnsignal.
Bei alten Shops kommt ein praktisches Problem hinzu. Häufig weiß niemand mehr genau, welche Plugins individuell angepasst wurden, und die ursprüngliche Agentur ist nicht mehr erreichbar. Ein Vergleich mit den Originalpaketen der Plugin-Hersteller ist dann der einzige verlässliche Weg, Veränderungen zu erkennen. Dokumentieren Sie bei dieser Gelegenheit auch gleich, welche Plugins der Shop wirklich braucht; das hilft später beim Umstieg.
Läuft Ihr Shopware-5-Shop auf PHP 8.1 oder älter und kann Ihr Hoster keinen Backport bestätigen, setzen Sie die Übergangsmaßnahmen von php.net sofort um. Das BSI empfiehlt, Webserver vorübergehend vom Netz zu nehmen, wenn ein Update nicht sofort möglich ist.
Übergangsschutz bis zum Umstieg
Bis PHP aktualisiert oder der Shop umgezogen ist, verringern die Maßnahmen von php.net das Risiko, ohne vollständigen Schutz zu bieten. Sie gehören in die Serverkonfiguration, nicht in .user.ini:
; im FPM-Pool als php_admin_value bzw. php_admin_flag setzen
memory_limit = -1
post_max_size = 32M
upload_max_filesize = 16M
session.upload_progress.enabled = 0
Danach alle PHP-Prozesse neu starten. Ein vorgeschalteter Filter kann zusätzlich helfen; Details stehen unter Sofortmaßnahmen ohne Patch.
Was ein Shopware-5-Update leistet und was nicht
Ein Update innerhalb von Shopware 5 kann bekannte Fehler im Shop schließen und manchmal neuere PHP-Versionen ermöglichen. Es patcht nicht PHP, entfernt keine fremden Dateien und beweist nicht, dass der Shop sauber ist. Der Wechsel zu Shopware 6 ist ein Projekt mit Datenübernahme, neuem Theme und neuen Plugins. Wie wir solche Wechsel strukturieren, beschreibt PHP 8.1 und älter: Migration.
Halten Sie das Ergebnis schriftlich fest: PHP-Stand, Backport-Bestätigung und Datum des Neustarts. Diese Dokumentation brauchen Sie bei Rückfragen von Versicherung, Zahlungsanbieter oder Datenschutzbeauftragtem.
Wie hilft PHP SOS konkret?
- Wir ermitteln PHP-Version, Paketstand und Backport-Lage Ihres Shopware-5-Servers.
- Wir setzen Übergangsschutz in der Serverkonfiguration um und starten alle Prozesse neu.
- Wir prüfen Plugins, Theme, Cache und Benutzer auf Spuren eines Angriffs.
- Wir erstellen mit Ihnen einen Fahrplan: PHP-Upgrade auf Shopware 5 als Zwischenschritt oder direkter Umstieg.
Häufige Fragen
Welche PHP-Version braucht Shopware 5?
Das hängt von der genauen Shopware-5-Version ab. Prüfen Sie die Systemanforderungen in der Dokumentation auf shopware.com für Ihre installierte Version. Entscheidend für PHP2Shell ist, ob Ihre PHP-Version noch Sicherheitsupdates erhält.
Kann ich Shopware 5 einfach auf PHP 8.3 umstellen?
Nur, wenn Ihre Shopware-Version und alle Plugins diese PHP-Version unterstützen. Sonst drohen Fehler im Checkout oder im Backend. Testen Sie den Wechsel in einer Kopie des Shops, bevor Sie ihn live schalten.
Ist ein Umstieg auf Shopware 6 nur ein Update?
Nein. Shopware 6 ist eine neue Plattform mit anderer Technik, anderen Plugins und anderem Theme-System. Daten lassen sich übernehmen, Plugins und Design müssen aber neu umgesetzt werden.
Was tun, wenn der Umstieg Monate dauert?
Dann braucht der Shop bis dahin ein gepatchtes PHP über Distribution oder Hoster, die Übergangsmaßnahmen von php.net und gegebenenfalls einen vorgeschalteten Filter. Das verringert das Risiko, ersetzt den Umstieg aber nicht.