Stručne: Verzia PHP pre Shopware 5 je po PHP2Shell najdôležitejšia otázka. Mnohé z týchto obchodov bežia na PHP 8.1 alebo staršom a pre ne projekt PHP už nevydáva oficiálne aktualizácie. Potrebujete preto potvrdený backport alebo prechodnú ochranu a pevný plán prechodu.
Prečo si obchody na Shopware 5 vyžadujú obzvlášť dôkladnú pozornosť
PHP2Shell zahŕňa dve kritické zraniteľnosti v PHP, CVE-2026-109618 a CVE-2026-109619. Podľa odbornej tlače sú dotknuté takmer všetky verzie až po PHP 5.4. Oficiálne opravy existujú iba pre PHP 8.2 až 8.5, pre 7.4, 8.0 a 8.1 iba minimálne backporty zdrojového kódu.
Shopware 5 je predchádzajúca generácia Shopware 6. Práve dlhodobo rastúce obchody s mnohými individuálnymi pluginmi tam zostali, často na verzii PHP, ktorá bola aktuálna pri poslednej veľkej prestavbe. Či vaša konkrétna verzia Shopware 5 ešte dostáva bezpečnostné aktualizácie od výrobcu, skontrolujte na shopware.com. Čo platí pre staré verzie PHP, zhŕňa stránka PHP 8.1 a staršie.
Skontrolovať verziu PHP pre Shopware 5 v backende a na serveri
V backende Shopware 5 zobrazuje Nastavenia > Systémové informácie serverové prostredie vrátane verzie PHP a kontroluje požiadavky. Je to verzia, s ktorou beží backend. Či poskytovateľ hostingu nasadil backport, tam nevidíte; číslo môže zostať rovnaké, hoci je záplatované.
| Stav PHP | Situácia pri PHP2Shell | Ďalší krok |
|---|---|---|
| 8.2 až 8.5 | Oficiálna oprava existuje | Aktualizácia, reštart, doklad |
| 7.4, 8.0, 8.1 | Iba minimálne backporty zdrojového kódu | Nechať potvrdiť backport, naplánovať prechod |
| 7.3 a staršie | Žiadna oprava od projektu PHP | Okamžite prechodná ochrana, urýchliť prechod |
Ktoré verzie PHP vaša verzia Shopware 5 a vaše pluginy znášajú, zistíte podľa systémových požiadaviek výrobcu a testom na kópii obchodu.
Kde sa škodlivý kód v Shopware 5 rád nachádza
- config.php v hlavnom adresári: prístup k databáze v čitateľnej podobe.
- custom/plugins/ a engine/Shopware/Plugins/Community/ ako aj Local/: novšie a staršie miesta pre pluginy, často s vlastnými vývojmi bez údržby.
- themes/Frontend/: šablóny a JavaScript vlastnej témy, obľúbené pre skimmery v pokladni.
- web/cache/: skompilované súbory témy, ktoré sa po manipulácii doručujú každému návštevníkovi.
- media/ a files/: obrázky, súbory na stiahnutie a dokumenty, nie súbory PHP.
- var/log/: protokoly, ktoré by ste mali pred akoukoľvek zmenou zálohovať.
Neškodná kontrola súborov PHP na miestach, kam nepatria:
find media files web/cache -type f -name "*.php"
find themes custom -name "*.php" -newermt "2026-10-17"
Backend je pod /backend. Skontrolujte tam správu používateľov na neznáme účty a ak je to možné, obmedzte prístup na známe siete. Pozornosť si zaslúži aj správca pluginov: neznáme alebo nedávno nainštalované pluginy, ktoré nikto neobjednal, sú jasným varovným signálom.
Pri starých obchodoch pribúda praktický problém. Často už nikto presne nevie, ktoré pluginy boli individuálne upravené, a pôvodná agentúra už nie je dosiahnuteľná. Porovnanie s originálnymi balíkmi výrobcov pluginov je potom jediná spoľahlivá cesta, ako rozpoznať zmeny. Zdokumentujte pri tejto príležitosti hneď aj to, ktoré pluginy obchod skutočne potrebuje; pomôže to neskôr pri prechode.
Ak váš obchod na Shopware 5 beží na PHP 8.1 alebo staršom a poskytovateľ hostingu nevie potvrdiť backport, okamžite zaveďte prechodné opatrenia od php.net. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporúča webové servery dočasne odpojiť od siete, ak aktualizácia nie je okamžite možná.
Prechodná ochrana do prechodu
Kým sa PHP neaktualizuje alebo obchod nepresťahuje, opatrenia od php.net znižujú riziko, bez toho aby poskytovali úplnú ochranu. Patria do konfigurácie servera, nie do .user.ini:
; nastaviť v poole FPM ako php_admin_value, resp. php_admin_flag
memory_limit = -1
post_max_size = 32M
upload_max_filesize = 16M
session.upload_progress.enabled = 0
Potom reštartujte všetky procesy PHP. Navyše môže pomôcť predradený filter; podrobnosti sú na stránke Okamžité opatrenia bez záplaty.
Čo aktualizácia Shopware 5 dokáže a čo nie
Aktualizácia v rámci Shopware 5 môže uzavrieť známe chyby v obchode a niekedy umožní novšie verzie PHP. PHP nezáplatuje, neodstráni cudzie súbory a nedokazuje, že je obchod čistý. Prechod na Shopware 6 je projekt s prevzatím údajov, novou témou a novými pluginmi. Ako takéto prechody štruktúrujeme, popisuje stránka PHP 8.1 a staršie: migrácia.
Výsledok si zaznamenajte písomne: stav PHP, potvrdenie backportu a dátum reštartu. Túto dokumentáciu budete potrebovať pri otázkach poisťovne, poskytovateľa platieb alebo zodpovednej osoby za ochranu údajov.
Ako konkrétne pomáha PHP SOS?
- Zisťujeme verziu PHP, stav balíkov a situáciu s backportmi na vašom serveri so Shopware 5.
- Prechodnú ochranu zavádzame v konfigurácii servera a reštartujeme všetky procesy.
- Kontrolujeme pluginy, tému, cache a používateľov na stopy útoku.
- S vami vypracujeme plán postupu: aktualizácia PHP na Shopware 5 ako medzikrok alebo priamy prechod.
Časté otázky
Akú verziu PHP potrebuje Shopware 5?
Závisí to od presnej verzie Shopware 5. Pre nainštalovanú verziu skontrolujte systémové požiadavky v dokumentácii na shopware.com. Pre PHP2Shell je rozhodujúce, či vaša verzia PHP ešte dostáva bezpečnostné aktualizácie.
Môžem Shopware 5 jednoducho prepnúť na PHP 8.3?
Iba ak túto verziu PHP podporuje vaša verzia Shopware a všetky pluginy. Inak hrozia chyby v pokladni alebo v backende. Prechod otestujte na kópii obchodu, skôr než ho nasadíte naostro.
Je prechod na Shopware 6 iba aktualizáciou?
Nie. Shopware 6 je nová platforma s inou technikou, inými pluginmi a iným systémom tém. Údaje sa dajú prevziať, pluginy a dizajn sa však musia zrealizovať nanovo.
Čo robiť, ak prechod trvá mesiace?
Potom potrebuje obchod dovtedy záplatované PHP cez distribúciu alebo poskytovateľa hostingu, prechodné opatrenia od php.net a prípadne predradený filter. Znižuje to riziko, prechod však nenahrádza.