Entwarnung für alte Shops
Wegen der Schwere der Lücken hat das PHP-Sicherheitsteam auch Patches für PHP 7.4, 8.0 und 8.1 veröffentlicht. Damit lässt sich jeder Shopware-Shop absichern — auch 6.4 und älter, die kein PHP 8.2 können. Entscheidend ist nur, dass dein Hoster den Patch einspielt: Die meisten Anbieter und Linux-Distributionen haben ihn bekommen, bei kleineren Hostern lohnt die Nachfrage.
Wenn du nicht selbst hinterher sein willst: Wir prüfen, ob dein Shop die gepatchte Version fährt, kümmern uns um das Update und behalten die Sicherheit deines Shops dauerhaft im Blick.
Das Wichtigste in Kürze
- PHP hat am 21. Oktober 2026 zwei kritische Lücken geschlossen (CVE-2026-109618 und CVE-2026-109619, beide CVSS 9.2): Angreifer können ohne Anmeldung fremden Code ausführen.
- Behoben in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 – und ausnahmsweise auch als Patch für PHP 7.4, 8.0 und 8.1.
- Shopware 6.4 und älter können PHP 8.2 nicht – dort hängt alles daran, ob der Hoster den Patch einspielt.
- Als Sofortmaßnahme nennt PHP unter anderem session.upload_progress abschalten – das ersetzt kein Update.
Am 21. Oktober 2026 hat das PHP-Team zwei kritische Schwachstellen geschlossen: CVE-2026-109618 und CVE-2026-109619, beide mit CVSS v4.0 9.2 bewertet. Beide erlauben dasselbe — das Ausführen von fremdem Code ohne Anmeldung. Für eine der beiden ist laut PHP bereits ein funktionierender Angriff vorgeführt worden, bei dem eine einzige Anfrage genügt, bevor überhaupt Shop-Code läuft.
Behoben sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Betroffen sind alle Installationen, die Web-Anfragen beantworten; das höchste Risiko sieht das PHP-Team bei Apache mit mod_php.
Für Shopware-Shops ist das aus einem Grund unangenehm: Ob du den Fix überhaupt bekommen kannst, hängt nicht an Shopware, sondern an deiner PHP-Version — und die wiederum hängt an deiner Shopware-Version.
Wer den Fix bekommt — und wer nicht
PHP pflegt immer nur die jüngsten Versionszweige. Aktuell sind das 8.2 bis 8.5 — alles darunter bekommt keine regulären Sicherheitsupdates mehr.
Wegen der Schwere hat das PHP-Sicherheitsteam diesmal eine Ausnahme gemacht und zusätzlich Patches für PHP 7.4, 8.0 und 8.1 veröffentlicht. Die sind allerdings zum Selbstkompilieren gedacht; ob sie in deinem Shop ankommen, hängt davon ab, ob dein Hoster oder deine Linux-Distribution sie einspielt. Fragen lohnt sich — darauf bauen sollte man nicht, denn beim nächsten Mal gibt es diese Ausnahme vermutlich nicht.
Damit entscheidet sich an der Shopware-Version, ob dein Shop die Kurve kriegt:
| Deine Shopware-Version | Höchste PHP-Version | Fix erreichbar? |
|---|---|---|
| 6.0 – 6.3 | PHP 7.x | nur über den Patch des Hosters |
| 6.4 | PHP 8.1 | nur über den Patch des Hosters |
| 6.5 | PHP 8.3 | ja, PHP 8.2 oder 8.3 einstellen |
| 6.6 / 6.7 | PHP 8.4 | ja, meist nur ein PHP-Wechsel beim Hoster |
Kurz: Ab Shopware 6.5 stellst du die PHP-Version um und bist durch. Bei 6.4 und älter bist du für diese Lücke auf den Patch deines Hosters angewiesen — das funktioniert, ist aber kein Zustand für die nächsten Jahre.
Welche PHP-Version läuft bei dir?
Das steht in der Shopware-Administration unter Einstellungen → System → Systeminfos. Dort siehst du die laufende PHP-Version und die Shopware-Version direkt untereinander. Wenn du unsicher bist, sagt dir auch dein Hoster, welche Version für deine Domain eingestellt ist.
Was jetzt zu tun ist
Du bist auf 6.6 oder 6.7: Lass deinen Hoster oder uns prüfen, ob die gepatchte PHP-Version eingespielt ist, sobald sie verfügbar ist. Bei vielen Hostern passiert das automatisch, bei manchen musst du die Version im Panel umstellen. Danach einmal Checkout und Zahlarten durchklicken.
Du bist auf 6.5: Prüfe, ob du schon auf PHP 8.2 oder 8.3 läufst. Falls nicht: umstellen, aber vorher auf einem Testsystem — manche älteren Plugins vertragen den Sprung nicht.
Du bist auf 6.4: Frag als Erstes deinen Hoster, ob der Patch für PHP 8.1 eingespielt ist — damit ist die akute Lücke erledigt. Danach bleibt die eigentliche Frage: PHP 8.1 bekommt sonst keine Sicherheitsupdates mehr, diesmal gab es eine Ausnahme. Der Sprung auf Shopware 6.5 oder höher ist ein großes Update, bei dem Plugins, Theme und Eigenentwicklungen geprüft und teilweise angepasst werden. Das dauert länger als einen Nachmittag — und lässt sich jetzt in Ruhe planen statt unter Druck.
Du bist auf 6.0 bis 6.3: Auch hier gilt zuerst die Frage an den Hoster, ob der Patch für PHP 7.4 oder 8.0 drauf ist. Danach steht die größere Entscheidung an — Update über mehrere Versionen oder sauberer Neuaufbau auf einer aktuellen Version. Beides lässt sich planen, beides braucht Vorlauf.
Übergangsschutz, bis das Update steht
Wenn dein Shop nicht sofort aktualisiert werden kann, nennt das PHP-Team selbst Sofortmaßnahmen. Die wichtigste für Shopware-Shops: die Funktion session.upload_progress abschalten.
session.upload_progress.enabled = 0Der Eintrag gehört in die php.ini, in den FPM-Pool oder in die .htaccess — nicht über ini_set() im Code, das greift zu spät. Danach PHP-FPM einmal neu laden.
Nebenwirkung: Fortschrittsanzeigen beim Datei-Upload, die über die PHP-Session laufen, funktionieren danach nicht mehr. In den allermeisten Shops fällt das niemandem auf.
Für die zweite Lücke empfiehlt PHP außerdem, post_max_size klein zu halten — 8 MB für Shops ohne Datei-Uploads, 32 MB mit. Beides gehört an dieselbe Stelle wie oben.
Eines in aller Deutlichkeit, und das schreibt das PHP-Team genauso: Diese Maßnahmen schließen einzelne Angriffswege, sie machen die Installation nicht sicher. Vollständig gelöst ist es erst mit dem Update.
PHP 8.2 ist die Untergrenze, nicht das Ziel
Ein Punkt, der bei solchen Aktionen gern untergeht: Für PHP 8.2 gibt es nur noch Sicherheitsfixes, und die enden am 31. Dezember 2026. Wer jetzt mit viel Aufwand auf 8.2 geht, steht in wenigen Monaten wieder am selben Punkt.
Sinnvoller ist ein Ziel, das ein paar Jahre trägt: eine Shopware-Version, die PHP 8.3 oder 8.4 unterstützt. Das ist dieselbe Arbeit — nur mit längerer Haltbarkeit.
Express-Shopware-Update
Wir schauen uns Version, Plugins und Theme an und sagen dir, was nötig ist, was es kostet und wie lange es dauert. Wenn es schnell gehen muss, sag es dazu.
Wie ein solches Update bei uns abläuft — Bestandsaufnahme, Testsystem, Plugins prüfen, Go-live — steht auf der Seite Shopware 6 Integration. Wer danach nicht wieder jahrelang auf einer alten Version sitzen will, findet unter Service & Betreuung, wie wir Updates im festen Rhythmus einspielen.
Stand: 21. Oktober 2026, nach Veröffentlichung des Sicherheitsreleases. Die technischen Details stehen in den beiden verlinkten Advisories; wir ziehen diesen Beitrag nach, falls sich die Einschätzung ändert.