Shopware PHP2Shell 修复指南 - PHP 兼容与升级

Shopware 网站修复 PHP2Shell，需要修补实际运行的 PHP 解释器。应用版本用于识别兼容障碍，不能单独证明网站可被利用，也不能证明两个 CVE 已修复。

CVE-2026-109618 ↗CVE-2026-109619 ↗

Shopware - 修复 PHP2Shell 要核对哪些 PHP 兼容版本

发布版本样本	声明的 PHP 要求	声明允许的补丁候选	原始来源
6.4.20.2	`^7.4.3 \|\| ^8.0`	8.5.12 8.4.27 8.3.36 8.2.35	repo.packagist.org ↗42e7b9045d03
v6.5.8.19	`~8.1.0 \|\| ~8.2.0 \|\| ~8.3.0`	8.3.36 8.2.35	repo.packagist.org ↗d5a6584270b1
v6.6.10.29	`~8.2.0 \|\| ~8.3.0 \|\| ~8.4.0 \|\| ~8.5.0`	8.5.12 8.4.27 8.3.36 8.2.35	repo.packagist.org ↗a856f8275592
v6.7.15.1	`~8.2.0 \|\| ~8.3.0 \|\| ~8.4.0 \|\| ~8.5.0`	8.5.12 8.4.27 8.3.36 8.2.35	repo.packagist.org ↗6b94878dba73

候选仅将该声明与受支持分支的首个 PHP2Shell 修复版本比对，不代表已经通过兼容测试、仍有厂商支持或全部依赖均匹配。修复 PHP2Shell 要核对哪些 PHP 兼容版本 ↗

确认 PHP2Shell 修复范围

文件与软件包身份

shopware/core

composer.lock
custom/plugins/
custom/apps/

Shopware - 排除 PHP2Shell 修复中的兼容障碍

Shopware 的小版本和补丁号与 PHP 一样重要。先盘点自定义 app、plugin 和 Symfony 依赖，再沿官方顺序更新。按需重建 Administration 与店铺资源，并重启消息消费者。在数据库副本测试搜索索引、结账和集成 API；Composer 能解出依赖不证明商店可以正常接单。

需要排查的依赖与二次开发

shopware/*
Symfony
custom/plugins/
custom/apps/
Administration
Elasticsearch / OpenSearch
messenger:consume

官方升级文档 ↗

PHP2Shell 修复后的业务验收

修复 PHP2Shell 前的只读盘点

在授权的工作副本中操作。

命令示例

php -v
php --ini
composer --no-plugins show --locked shopware/core
composer --no-plugins check-platform-reqs --lock
composer --no-plugins prohibits php 8.3.36 --locked

Shopware - 核实 PHP2Shell 修复

在真正承载本站请求的 PHP 中核实两个 CVE 的补丁。替换或重启旧 Web 工作进程、队列进程和全部副本。首页能打开或 CLI 版本变新，都不足以证明修复完成。

3. 重启并验证所有实例 ↗

官方升级文档

Shopware原始来源 ↗PHP security team原始来源 ↗CVE-2026-109618原始来源 ↗CVE-2026-109619原始来源 ↗修复 PHP2Shell 时的 PHP 升级报错排查↗