Stand: 21. Oktober 2026
Ihr Shop ist erreichbar, Bestellungen gehen ein, im Shopware-Admin sieht alles normal aus. Trotzdem kann im Hintergrund ein dringendes Sicherheitsupdate fehlen. Genau deshalb verdient die aktuelle PHP-Sicherheitsmeldung Ihre Aufmerksamkeit: Ein funktionierender Shop ist noch kein Nachweis dafür, dass seine technische Grundlage abgesichert ist.
Für Sie als Shopbetreiber kommt es jetzt auf klare Antworten an: Ist Ihre Installation geschützt? Wer kümmert sich um das Update? Und wer prüft anschließend, ob Ihre Kunden weiterhin bestellen können? Mit unserem Angebot Shopware-Updates, Support & Hosting unterstützen wir Sie bei der laufenden technischen Betreuung Ihres Shops. Der aktuelle Anlass zeigt, warum Serverbetrieb und Shopware-Wartung zusammen betrachtet werden sollten.
Das PHP-Sicherheitsupdate ist veröffentlicht
Am 21. Oktober 2026 hat das PHP-Projekt Sicherheitsversionen veröffentlicht, die zwei kritische Schwachstellen schließen: CVE-2026-109618 und CVE-2026-109619. Laut offizieller PHP-Sicherheitsmeldung können die Lücken die Ausführung fremden Codes ohne vorherige Anmeldung ermöglichen. Die korrigierten Versionen lauten:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Die Warnung betrifft PHP-Installationen, die Webanfragen verarbeiten, darunter auch PHP-FPM. Das PHP-Team stuft das Risiko bei Apache mit mod_php besonders hoch ein. Allein der Einsatz einer anderen Betriebsart ist aber keine Entwarnung. Vorübergehende Schutzmaßnahmen ersetzen das Update nach Angaben des Projekts nicht vollständig.
PHP ist die Laufzeitumgebung, auf der die serverseitigen Funktionen eines Shopware-Shops aufbauen. Deshalb genügt es bei dieser Meldung nicht, nur nach einem neuen Shopware-Release oder einem Plugin-Update zu suchen: Auch die PHP-Installation muss geprüft werden.
Die wichtigste Frage: Wer ist für Ihre PHP-Installation verantwortlich?
Im Tagesgeschäft verschwimmen Zuständigkeiten leicht. Der Hoster betreut den Server, die Agentur entwickelt den Shop, und intern kümmert sich jemand um Erweiterungen. Bei einer Sicherheitsmeldung kostet diese Aufteilung Zeit, wenn niemand den gesamten Ablauf koordiniert.
Bitten Sie Ihren Hosting-Anbieter deshalb um eine konkrete Rückmeldung zu Ihrem Shop. „Unsere Server werden regelmäßig aktualisiert“ hilft weniger als eine Bestätigung, welche Installation wann gepatcht wurde und ob die Änderung bereits im laufenden Betrieb wirksam ist.
Diese fünf Punkte sollten Sie jetzt klären
- Aktueller Schutzstatus: Welche PHP-Version beziehungsweise welches Anbieterpaket verarbeitet die Webanfragen Ihres Shops? Ist der Fix für beide Schwachstellen enthalten?
- Umfang: Sind neben dem Live-Shop auch weitere öffentlich erreichbare Installationen wie Subshops oder Testumgebungen berücksichtigt?
- Zeitpunkt und Zuständigkeit: Ist das Update bereits abgeschlossen? Falls nicht: Wer setzt es bis wann um und informiert Sie über den Abschluss?
- Wirksamkeit: Wurden die betroffenen Dienste beziehungsweise Prozesse nach Anbieter-Vorgabe neu gestartet, sodass tatsächlich der korrigierte Stand verwendet wird?
- Kontrolle danach: Wer prüft die wichtigsten Shopfunktionen und beobachtet mögliche Fehlermeldungen nach der Umstellung?
Ein Detail ist bei der Versionsnummer wichtig: Linux-Distributionen und andere Anbieter können Sicherheitskorrekturen in bestehende Pakete zurückportieren. Eine scheinbar ältere Nummer ist deshalb allein noch kein Beleg für einen fehlenden Fix. Lassen Sie sich in diesem Fall den Sicherheitsstatus des konkreten Pakets vom Anbieter bestätigen. Das PHP-Projekt weist ausdrücklich auf aktualisierte Distributions- und LTS-Pakete hin.
Aktualisieren, ohne die Bestellstrecke aus dem Blick zu verlieren
Das Ziel ist ein geschützter Shop, in dem Ihre Kunden zuverlässig einkaufen können. Dafür sollte die technische Umsetzung mit einer kurzen, gezielten Funktionskontrolle verbunden werden. Stimmen Sie Sicherung, gegebenenfalls erforderliche Unterbrechungen und einen Fehlerbehebungsplan mit Ihrem technischen Partner ab. Bei einem kritischen Fix darf daraus allerdings kein wochenlanges Projekt werden.
Zur Kontrolle gehören eine Produktseite, Warenkorb und Anmeldung ebenso wie der Checkout. Prüfen Sie insbesondere Ihre relevanten Zahlungsarten über einen dafür geeigneten Testablauf und kontrollieren Sie, ob Bestellungen korrekt in der Administration ankommen. Auch Bestellmails, Schnittstellen und Hintergrundaufgaben sollten je nach Shop-Setup einbezogen werden. Eine erreichbare Startseite allein sagt darüber wenig aus.
Genau hier setzt unsere Shopware-Betreuung mit Updates, Support und optionalem Hosting an: Wir verbinden die technische Betreuung mit dem Blick auf Ihren Shop. Zu unserem Angebot gehören Shopware- und Erweiterungsupdates, die Auswertung technischer Logfiles und ein persönlicher Ansprechpartner. Kritische Sicherheitsupdates berücksichtigen wir auch außerhalb unseres regulären Patchdays; Shopware-Updates testen wir vorab in einer Testumgebung und stimmen den Live-Termin mit Ihnen ab.
Ein Sicherheitspatch innerhalb Ihrer bestehenden PHP-Reihe und ein Wechsel auf eine neue PHP-Haupt- oder Nebenreihe sind unterschiedliche Vorhaben. Lassen Sie die für Ihre Shopware-Version und Erweiterungen passende Umsetzung prüfen, statt bei dieser Gelegenheit ungeplant auf die höchste verfügbare PHP-Reihe umzustellen.
Was Sie Ihrem Hoster schreiben können
Damit Sie ohne lange Vorarbeit eine belastbare Auskunft anfordern können, reicht eine kurze Nachricht:
Bitte bestätigen Sie für unseren Shop die Absicherung gegen CVE-2026-109618 und CVE-2026-109619. Welche PHP-Version beziehungsweise welches korrigierte Anbieterpaket ist aktiv? Wann wurde das Update wirksam eingespielt? Sind alle zugehörigen öffentlich erreichbaren Installationen berücksichtigt? Bitte nennen Sie uns außerdem den Ansprechpartner für die anschließende Funktionskontrolle und eventuell notwendige weitere Schritte.
Halten Sie die Antwort zusammen mit dem Ergebnis Ihrer Shopprüfung fest. So bleibt nachvollziehbar, was erledigt wurde und wo noch Handlungsbedarf besteht.
Weniger Abstimmung, ein verlässlicher Ablauf für Ihren Shop
Die wirtschaftliche Belastung einer Sicherheitsmeldung entsteht nicht nur durch die technische Arbeit. Auch interne Rückfragen, unterbrochene Abläufe und die Unsicherheit über den tatsächlichen Zustand Ihres Shops kosten Zeit. Eine dauerhaft geregelte Betreuung kann diesen Aufwand reduzieren und helfen, technische Probleme früher zu erkennen.
Mit Shopware-Updates, Support & Hosting von Bergisch eCommerce erhalten Sie laufende Update-Betreuung, technisches Monitoring und einen persönlichen Ansprechpartner; Hosting ist je nach Vereinbarung Bestandteil Ihrer Lösung. Der konkrete Nutzen für Ihr Unternehmen: weniger eigene Koordination zwischen Dienstleistern, planbarere Betreuungskosten und ein geringeres Risiko, dass übersehene Updates oder technische Fehler Ihr Verkaufsgeschäft beeinträchtigen. Den passenden Umfang klären wir anhand Ihres bestehenden Setups.
