Shopware-Sicherheitspatches schützen einen Shop nur, wenn sie jemand einspielt. Am 21. Oktober 2026 teilte Shopwares Statusseite SaaS-Kunden mit, dass ein PHP-Sicherheitsupdate abgeschlossen sei und keine Aktion nötig sei. Die Meldung nennt nur Shopware SaaS.
Läuft Ihr Shop auf eigenem Hosting, ist dieses Update die Aufgabe von jemandem, und diese Aufgabe braucht einen Namen.
Was Shopware am 26. Oktober gesagt hat
Fünf Tage später hat Shopware Hinweise für selbst gehostete Shops veröffentlicht. Shopware empfiehlt nun, das Security Plugin installiert, aktiviert und aktuell zu halten, auch wenn die Plattform selbst vollständig aktuell ist. Früher lautete die Empfehlung, es vor allem dann zu nutzen, wenn ein Plattform-Update nicht sofort ausgespielt werden konnte.
Zwei weitere Punkte sind für Betreiber wichtig. Laut Shopware ersetzt das Plugin keine Updates für PHP, Drittabhängigkeiten, Erweiterungen oder Shopware selbst. Und nach einer öffentlichen Sicherheitsmeldung sieht Shopware nach eigener Aussage innerhalb von Tagen automatisierte Ausnutzungsversuche, weshalb es davon abrät, die Arbeit auf das nächste wöchentliche oder monatliche Wartungsfenster zu verschieben.
Der Beitrag richtet sich gleichermassen an Agenturen, Händler und Erweiterungspartner. Jeder von ihnen sollte laut Shopware einen Prozess haben, um Sicherheitsfixes zügig einzuspielen. Ein Prozess braucht eine Person, die ihn ausführt.
Die drei Ebenen eines Shops
Ein Shop hat drei Stellen, an denen ein Sicherheitsfix landen kann.
- Shopware. Deckt das Security Plugin einen Fix ab, reicht mir das, und ich halte es installiert und aktuell. Deckt es ihn nicht ab, aktualisiere ich den Shop selbst.
- PHP und der Server. Das Plugin berührt diese Ebene nicht. Jemand mit Serverzugang muss PHP aktualisieren.
- Ihre übrigen Plugins. Jeder Hersteller liefert eigene Updates, und ein Entwickler pflegt Ihre individuellen Plugins.
Berühren ein Hosting-Anbieter, eine Agentur und ein Freelancer alle den Shop, und hat niemand aufgeschrieben, wer welche Ebene verantwortet, kann jeder vernünftigerweise annehmen, dass es jemand anderes ist.
Wie die PHP-Lücken in der Praxis aussahen
Im Oktober brauchten zwei PHP-Lücken namens php2shell, CVE-2026-109618 und CVE-2026-109619, ein PHP-Update. Ein Shopware-Plugin kann keine Lücke in PHP schliessen, das Security Plugin war also nicht das richtige Werkzeug. Auf dem Server eines Kunden habe ich PHP aktualisiert und den Shop anschliessend auf Anzeichen eines Angriffs geprüft.
Varonis, ein Sicherheitsanbieter, nennt als gepatchte Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 und sagt, dass es für PHP 8.1 und älter keine offizielle Version gibt. Das PHP-Changelog führt alle vier auf. Läuft Ihr Shop auf einer alten PHP-Version, fragen Sie Ihren Hoster danach.
Wie es mit einer Agentur oder im Wartungsvertrag läuft
Holt mich eine Agentur als Freelancer hinzu, bittet sie mich, den Status des Shops ihres Kunden zu prüfen. Ich prüfe den Shop und sage der Agentur, was ich finde.
Im Wartungsvertrag läuft es anders. Ich prüfe den Shop selbst, ohne dass jemand fragt, und schicke eine Update-Mail. Niemand muss daran denken, nachzufragen.
Vier Fragen an alle, die Ihren Shop betreuen
- Wer verfolgt Sicherheitsmeldungen zu Shopware und PHP, und woher erfährt er davon?
- Wer kann PHP auf Ihrem Server ändern, und wie schnell?
- Wer entscheidet, ausserhalb des regulären Wartungsfensters zu patchen, und wer zahlt diese Stunden?
- Wer prüft den Shop danach auf Anzeichen eines Angriffs?
Können Sie nicht alle vier beantworten, hat die Aufgabe wahrscheinlich noch keinen Verantwortlichen. Eine rein lesende Prüfung von Shopware-Version, Plugin-Liste und Logs zeigt, wo der Shop heute steht, und ich beschreibe sie in meinem Beitrag zum Shop-Audit.
Was mein Wartungsvertrag umfasst
Er beginnt bei 550 EUR im Monat und enthält 10 Stunden Entwicklung für Bugfixes, Plugin-Konflikte und kleine Anpassungen. Ich prüfe vorab, ohne gefragt zu werden, auf Plugin-Updates und Shopware-Updates und spiele sie ein. Sie bekommen eine Antwort am selben Tag, und ich schicke Ihnen eine Update-Mail.
Häufig gestellte Fragen
Reicht das Shopware Security Plugin allein aus? Für Shopwares eigene Sicherheitsfixes verlasse ich mich darauf, und Shopware empfiehlt inzwischen, es installiert, aktiviert und aktuell zu halten. Es ersetzt keine Updates für PHP, Drittabhängigkeiten, Erweiterungen oder Shopware selbst, also brauchen diese Updates weiterhin einen Verantwortlichen. Deckt es einen Fix nicht ab, aktualisiere ich den Shop oder PHP selbst.
Patcht Shopware selbst gehostete Shops für mich? Nein. Shopwares Statusmeldung zum PHP-Update im Oktober nennt nur Shopware SaaS, wo Shopware nach eigener Aussage Plattform-Updates und Sicherheitspatches automatisch einspielt. Auf eigenem Hosting muss jemand, den Sie bestimmen, das übernehmen.
Was kostet ein Shopware-Wartungsvertrag? Meiner beginnt bei 550 EUR im Monat und enthält 10 Stunden Entwicklung. Ich prüfe vorab, ohne gefragt zu werden, auf Plugin-Updates und Shopware-Updates und spiele sie ein. Sie bekommen eine Antwort am selben Tag.
Was tue ich, wenn mein Shop auf einer alten PHP-Version läuft? Fragen Sie Ihren Hoster, welche PHP-Version Sie nutzen und ob sie noch offizielle Sicherheitsfixes bekommt. Varonis berichtet, dass es für PHP 8.1 und älter keine offizielle Version gegen die php2shell-Lücken gibt.
Wenn auf Ihrem Shop niemand das Patchen verantwortet, nehmen Sie Kontakt auf. Diese Arbeit übernehme ich als Shopware Freelancer. Weitere Arbeiten dieser Art finden Sie in meinen Fallstudien.
