Kurz gesagt: Shopware 5 bekommt schon lange keinen regulären Support mehr. Die heute geschlossene PHP-Sicherheitslücke php2shell betrifft aber auch jeden Shopware-5-Shop. Offizielle PHP-Updates gibt es nur noch für PHP 8.2 bis 8.5, und PHP 8.2 läuft Ende 2026 aus. Shopware 5 kommt mit Version 5.7.20 und dem offiziellen PHP-8.3-Stand auf PHP 8.3, das bis Ende 2027 Sicherheitsupdates bekommt. Der Haken sind die installierten Plugins: Sie bekommen meist keine Updates mehr und müssen geprüft und angepasst werden.
Ausgangslage: Shopware 5 ist am Ende – aber noch nicht abgeschrieben
Shopware hat die Entwicklung von Shopware 5 schon vor Jahren zugunsten von Shopware 6 beendet. Trotzdem sind noch viele Shops mit Shopware 5 online, oft seit vielen Jahren zuverlässig.
Auch nach dem offiziellen Support-Ende hat Shopware noch Wartungs-Updates veröffentlicht. Das letzte offizielle Release ist Shopware 5.7.20 vom 5. Juni 2025. Seit September 2026 ist das offizielle Shopware-5-Repository auf GitHub als nicht mehr gepflegt markiert. Weitere Updates sind also nicht zu erwarten.
Was php2shell für Shopware-5-Shops bedeutet
Am 21. Oktober 2026 hat das PHP-Team zwei kritische Sicherheitslücken in PHP geschlossen. Angreifer können damit ohne Login eigenen Code auf dem Server ausführen. Die Lücke steckt in PHP selbst, nicht in Shopware. Betroffen ist deshalb jeder Shop, egal wie gut er gepflegt ist. Alle Details und eine Erklärung für Nicht-Techniker findest du in meinem Artikel php2shell: Kritische PHP-Sicherheitslücke.
Für Shopware 5 ist das besonders heikel. Viele Shopware-5-Shops laufen noch auf PHP 7.4, 8.0 oder 8.1. Für diese Versionen gibt es kein offizielles PHP-Update. Gepatcht wurden nur:
- PHP 8.5 (8.5.12), Sicherheitsupdates bis 31.12.2029
- PHP 8.4 (8.4.27), Sicherheitsupdates bis 31.12.2028
- PHP 8.3 (8.3.36), Sicherheitsupdates bis 31.12.2027
- PHP 8.2 (8.2.35), Sicherheitsupdates nur noch bis 31.12.2026
Ein Shop auf PHP 8.1 oder älter bleibt also offen – und das bei einer Lücke, die laut Cloudflare bereits angegriffen wird.
Der Weg: Shopware 5.7.20 und PHP 8.3
Damit dein Shop wieder auf einer PHP-Version läuft, die Sicherheitsupdates bekommt, braucht er den aktuellen Stand von Shopware 5.7:
- Shopware 5.7.20 ist das letzte offizielle Release und läuft mit PHP bis 8.2.
- Die Kompatibilität mit PHP 8.3 hat das Shopware-Team im offiziellen Branch 5.7 ergänzt und dort auch gegen PHP 8.3 getestet. Im Changelog ist sie als Teil der nächsten Version 5.7.21 aufgeführt.
Wichtig für die Planung: Für diesen PHP-8.3-Stand gibt es kein fertiges Installationspaket und kein Update über das Backend. Er muss technisch eingespielt werden, zum Beispiel über Git und Composer. Das ist kein Klick im Backend, sondern eine Aufgabe für einen Entwickler.
Mit 5.7.20 und dem PHP-8.3-Stand kann dein Shop auf das gepatchte PHP 8.3.36 wechseln. Damit hast du Sicherheitsupdates für PHP bis Ende 2027.
Wenn es schnell gehen muss: Läuft dein Shop schon auf Shopware 5.7, kann PHP 8.2.35 eine kurze Brücke sein. Das ist für 5.7.20 offiziell freigegeben und gegen php2shell gepatcht. Aber nur bis zum 31. Dezember 2026. Der Wechsel auf PHP 8.3 sollte trotzdem bis Jahresende erledigt sein.
Das eigentliche Risiko: deine Plugins
Shopware selbst ist für PHP 8.3 vorbereitet. Deine Plugins sind es meist nicht. Viele Shopware-5-Plugins werden von ihren Herstellern nicht mehr gepflegt. Es gibt keinen Support und keine Updates, und manche Anbieter gibt es gar nicht mehr.
Das betrifft auch selbst entwickelte Erweiterungen und angepasste Themes. Code, der vor Jahren für PHP 7 geschrieben wurde, läuft auf PHP 8.3 oft nicht mehr fehlerfrei. Typische Folgen nach dem PHP-Wechsel:
- Der Shop oder einzelne Seiten zeigen nur noch eine Fehlermeldung oder bleiben weiß.
- Zahlungs- oder Versand-Plugins brechen im Checkout ab.
- Schnittstellen zu Warenwirtschaft, Marktplätzen oder Newsletter-Tools übertragen nichts mehr.
- Im Backend lassen sich einzelne Module nicht mehr öffnen.
Deshalb gehört zu jedem Wechsel auf PHP 8.3 eine Prüfung aller installierten Plugins. Jedes Plugin muss auf PHP 8.3 getestet und bei Bedarf angepasst werden. Plugins, die nicht mehr gebraucht werden, solltest du bei der Gelegenheit entfernen. Jedes entfernte Plugin ist eines weniger, das Probleme machen kann.
So läuft die Umstellung sicher ab
- Bestandsaufnahme: Shopware-Version, PHP-Version und alle installierten Plugins erfassen.
- Testkopie anlegen: Shop und Datenbank auf eine Testumgebung kopieren. Am Live-Shop wird nichts ausprobiert.
- Shopware aktualisieren: auf 5.7.20 mit dem PHP-8.3-Stand.
- Plugins prüfen und anpassen: jedes Plugin und das Theme unter PHP 8.3 testen und Fehler beheben.
- Kernprozesse testen: Registrierung, Warenkorb, Checkout mit allen Zahlungsarten, E-Mails, Schnittstellen.
- Live-Umstellung: Backup, Update einspielen, PHP-Version beim Hoster auf 8.3 umstellen, alles noch einmal prüfen.
Wer noch auf Shopware 5.6 oder älter ist, muss zuerst auf 5.7 kommen. Das ist ein größerer Schritt, weil sich mit 5.7 viel unter der Haube geändert hat. Gerade dann sind Plugins und Theme fast immer betroffen.
Und langfristig?
Der Wechsel auf PHP 8.3 verschafft dir Zeit: Sicherheitsupdates für PHP bis Ende 2027. Shopware 5 selbst bekommt aber keine Updates mehr. Wird in Shopware 5 oder einem Plugin eine Lücke gefunden, schließt sie niemand automatisch.
Nutze die gewonnene Zeit deshalb, um den Wechsel auf Shopware 6 zu planen. Warum sich das lohnt, beschreibe ich in Warum du jetzt von Shopware 5 auf Shopware 6 migrieren solltest. Mit welchen Kosten du rechnen musst, steht in Shopware-Migration: Kosten und Ablauf.
Checkliste für Shopware-5-Betreiber
- Shopware-Version im Backend prüfen (Einstellungen > Systeminfo).
- PHP-Version im Hosting-Kundenbereich oder beim Hoster prüfen.
- Liste aller installierten und aktiven Plugins erstellen.
- Testkopie des Shops anlegen.
- Update auf Shopware 5.7.20 mit PHP-8.3-Stand einplanen.
- Plugins unter PHP 8.3 prüfen und anpassen lassen.
- Auf gepatchtes PHP 8.3.36 umstellen.
- Übergangsweise höchstens PHP 8.2.35 – und nur bis 31.12.2026.
- Migration auf Shopware 6 für 2027 einplanen.
Häufige Fragen
Kann ich die PHP-Version nicht einfach beim Hoster umstellen?
Davon rate ich ab. Shopware 5.7.20 allein ist offiziell nur bis PHP 8.2 freigegeben, und alte Plugins brechen häufig. Im schlimmsten Fall steht der Shop still, während Kunden bestellen wollen.
Mein Shop läuft auf PHP 8.2. Muss ich trotzdem etwas tun?
Ja, zweimal. Erstens muss das Update auf PHP 8.2.35 eingespielt sein. Zweitens endet PHP 8.2 am 31. Dezember 2026. Danach gibt es für 8.2 keine Sicherheitsupdates mehr.
Gibt es für meine alten Plugins noch Updates?
Für die meisten Shopware-5-Plugins nicht. Deshalb müssen sie geprüft und bei Bedarf angepasst werden. Bei individuell entwickelten Plugins geht das fast immer. Bei gekauften Plugins hängt es davon ab, ob der Code zugänglich ist.
Ist mein Shop nach dem Wechsel auf PHP 8.3 dauerhaft sicher?
Gegen php2shell ja, sobald das gepatchte PHP 8.3.36 läuft. Shopware 5 selbst bekommt aber keine Updates mehr. PHP 8.3 ist deshalb eine solide Brücke, aber keine Dauerlösung.