# Shopware 6 Sicherheitslücke PHP2Shell: So sichern Sie Ihren Shop ab > Shopware 6 und PHP2Shell: Warum ein Shop-Update nicht reicht, wo Schadcode liegt (.env, custom/plugins, public) und wie Sie Integrationen prüfen. Quelle: https://phpsos.de/plattformen/shopware-6/ Stand: 25.10.2026 Anbieter: PHP SOS, PHP-Notfallhilfe und Server-Sicherheit. Soforthilfe per WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wir%20brauchen%20Hilfe%20mit%20unserem%20PHP-Server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6 **Kurz gesagt:** Die Shopware 6 Sicherheitslücke, nach der viele Händler gerade suchen, ist eigentlich eine Lücke in PHP. Shopware-Updates schließen sie nicht. Sie brauchen ein gepatchtes PHP mit Neustart aller Prozesse und sollten danach `.env`, `custom/plugins`, das `public`-Verzeichnis und die API-Integrationen prüfen. ## Was PHP2Shell für Shopware 6 bedeutet Shopware 6 baut auf dem PHP-Framework Symfony auf und läuft meist mit PHP-FPM hinter Nginx oder Apache. Die Lücken CVE-2026-109618 und CVE-2026-109619 betreffen genau diese Betriebsart. Sie erlauben laut PHP-Team das Ausführen von Schadcode aus der Ferne, ohne Anmeldung am Shop. Ein Angreifer mit Codeausführung auf dem Server erreicht alles, worauf der Shop selbst zugreift: Kundendaten, Bestellungen, Rechnungsdokumente, Zugangsdaten zu Warenwirtschaft und Zahlungsanbietern. Den technischen Hintergrund erklären wir unter [Was ist PHP2Shell?](https://phpsos.de/php2shell/was-ist-php2shell/). ## Shopware 6 Sicherheitslücke prüfen: welches PHP läuft wirklich? Shopware 6 wird viel über die Kommandozeile gepflegt, etwa mit `bin/console`. Dabei liegt ein Fehler nahe: `php -v` zeigt die Version des Kommandozeilen-PHP, nicht zwingend die von PHP-FPM, das die Shop-Anfragen bearbeitet. Auf vielen Servern sind mehrere PHP-Versionen parallel installiert. Verlässlich sind die Angabe im Hosting-Panel für die konkrete Domain und die Bestätigung des Hosters zum Paketstand. Behobene Upstream-Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35; Backports können ältere Nummern tragen. Welche PHP-Versionen Ihre Shopware-Version unterstützt, prüfen Sie laut Systemanforderungen in der Dokumentation auf shopware.com. Wie Sie selbst nachsehen, steht unter [PHP-Version und Patchstand richtig prüfen](https://phpsos.de/php2shell/php-version-pruefen/). Ein Punkt wird bei Shopware 6 oft übersehen: Viele Shops verarbeiten die Nachrichtenwarteschlange und geplante Aufgaben über dauerhaft laufende Hintergrundprozesse, etwa `bin/console messenger:consume` unter einem Prozessmanager. Diese Prozesse laden PHP einmal beim Start. Nach dem Update müssen deshalb nicht nur PHP-FPM, sondern auch diese Worker neu gestartet werden. Sonst arbeitet ein Teil des Shops weiter mit dem alten, verwundbaren PHP im Speicher. ## Verzeichnisse und Dateien, die Sie kennen sollten | Ort | Inhalt | Warum relevant | |---|---|---| | `.env`, `.env.local` | Datenbankzugang, `APP_SECRET`, weitere Schlüssel | Nach Verdacht erneuern | | `public/` | Dokumentwurzel mit `index.php`, Medien, Theme-Dateien | Zusätzliche PHP-Dateien sind verdächtig | | `public/theme/` | kompilierte JavaScript- und CSS-Dateien der Storefront | Ort für eingeschleuste Skimmer | | `custom/plugins/`, `custom/apps/` | Erweiterungen | Veränderter Plugin-Code | | `files/` | private Dateien wie Rechnungen und Lieferscheine | Personenbezogene Daten | | `var/log/` | Shop-Protokolle | Spuren sichern | Ungefährliche erste Prüfungen: ```bash # Installierte Plugins mit Version und Status anzeigen bin/console plugin:list # PHP-Dateien im öffentlichen Verzeichnis auflisten find public -type f -name "*.php" # Bekannte Lücken in Composer-Abhängigkeiten anzeigen composer audit ``` Im Ordner `public/` sollten nur wenige, bekannte PHP-Dateien liegen. Alles Unbekannte gehört gesichert und untersucht, nicht sofort gelöscht. > **Tipp:** > Prüfen Sie in der Administration unter Einstellungen > System die Bereiche „Benutzer & Rechte“ und „Integrationen“. Unbekannte Benutzer oder API-Integrationen sind eine Hintertür, die jeder Datei-Scan übersieht. ## Admin-Zugang, Plugins und Apps als Risiko Die Administration liegt standardmäßig unter `/admin`. Schützen Sie sie mit persönlichen Konten, starker Anmeldung und wenn möglich mit einer Zugriffsbeschränkung auf bekannte Netze. Integrationen für Warenwirtschaft, Marktplätze oder Versanddienstleister sollten nur die Rechte haben, die sie wirklich brauchen. Plugins aus dem Store und Eigenentwicklungen bringen eigenen PHP-Code mit, Apps zusätzlich Webhooks an externe Server. Je mehr Erweiterungen, desto größer die Angriffsfläche und desto aufwendiger jedes PHP-Upgrade. Entfernen Sie Plugins, die nicht mehr genutzt werden, vollständig. ## Was ein Shopware-Update kann und was nicht Ein Update von Shopware oder einem Plugin schließt bekannte Fehler in diesem Code. Es kann nicht: - PHP auf dem Server patchen, - alte PHP-FPM-Prozesse neu starten, - fremde Dateien in `public/` oder manipulierte Theme-Dateien sicher entfernen, - fremde Benutzer oder Integrationen löschen, - belegen, dass vor dem Patch nichts passiert ist. Nach einem PHP-Update auf eine neue Hauptversion sollten Sie Cache und Theme neu erzeugen und den Shop in einer Testumgebung prüfen. Den PHP-Wechsel mit Nachweis übernimmt auf Wunsch unser [PHP-Patch-Service](https://phpsos.de/leistungen/php-patch-service/). Shopware 6 läuft bei größeren Händlern oft auf mehreren App-Servern. Dann muss jeder Server gepatcht und neu gestartet sein, auch solche, die nur Hintergrundaufgaben abarbeiten. Betreibt ein Dienstleister den Shop als verwaltete Plattform, sollte er Ihnen den Stand für alle Knoten bestätigen. ## Wie hilft PHP SOS konkret? - Wir stellen fest, welches PHP Ihr Shop über FPM tatsächlich nutzt, und klären Patch und Neustart mit Hoster oder Agentur. - Wir sichern Logs ab dem 20.10.2026, Datenbank und Dateien. - Wir prüfen `public/`, kompilierte Theme-Dateien, Plugins, Benutzer und Integrationen auf Auffälligkeiten. - Bei einem Fund bereinigen wir den Shop gemeinsam mit Ihrer Agentur und erneuern Schlüssel und Zugänge geordnet. ## Häufige Fragen **Ist Shopware 6 selbst von PHP2Shell betroffen?** Die Lücken stecken in PHP, nicht im Shopware-Code. Jeder Shopware-6-Shop auf einem ungepatchten PHP ist daher potenziell angreifbar, unabhängig von der Shopware-Version. Ein Shopware-Update ändert daran nichts. **Welche Datei in Shopware 6 ist nach einem Angriff besonders kritisch?** Die Datei .env oder .env.local mit Datenbankzugang und APP_SECRET. Wer sie lesen konnte, kennt Ihre Zugangsdaten. Nach einem Verdacht sollten diese Werte erneuert werden, abgestimmt mit Ihrer Agentur. **Was sind Integrationen in Shopware 6 und warum prüfen?** Integrationen sind API-Zugänge für externe Systeme wie Warenwirtschaft oder Marktplätze. Eine fremde Integration mit Administratorrechten erlaubt vollen Zugriff auf den Shop über die API, ohne dass eine Datei auf dem Server liegt. ## Quellen - [php.net: Sicherheitsmeldungen](https://www.php.net/) - [Shopware](https://www.shopware.com/) - [Unterstützte PHP-Versionen](https://www.php.net/supported-versions.php) - [OWASP Top 10](https://owasp.org/www-project-top-ten/)