JTL hat am 14.10.2026 vor zwei Sicherheitslücken in JTL-Shop 5 gewarnt. Die erste erlaubt es Fremden, Ihren Shop ohne Anmeldung in den Wartungsmodus zu schalten – Kunden sehen dann nur noch die Wartungsseite, der Umsatz steht. Die zweite ist kritisch: Über die Consent-Statistik lässt sich ohne Anmeldung Schadcode einschleusen, der im Browser Ihres Administrators ausgeführt wird, sobald dieser die Statistik öffnet.
Laut JTL gibt es bisher keine Hinweise auf eine Ausnutzung. Für alle unterstützten Versionen stehen Updates bereit.
Auf einen Blick
| Punkt | Details |
|---|---|
| Lücke 1: Wartungsmodus | Shop kann ohne Anmeldung in den Wartungsmodus geschaltet werden (CVE-2026-103905, Schweregrad hoch) |
| Lücke 2: XSS | Schadcode über die Consent-Statistik, läuft im Browser eines Admins (CVE-2026-103904, kritisch) |
| Betroffen | Lücke 1: ab 5.3.0 · Lücke 2: ab 5.4.0 – jeweils bis 5.6.4, 5.7.4 bzw. 5.8.1 |
| Behoben in | 5.6.5 · 5.7.5 · 5.8.2 |
| Kein Patch für | 5.3 bis 5.5 – nur Update auf mindestens 5.6.5 hilft |
| Nicht betroffen | Shops im JTL-Hosting (bereits gepatcht) |
Unsere Lösung: Wir prüfen Ihre Shop-Version, spielen das Update oder die Patch-Dateien von JTL ein, kontrollieren die Consent-Statistik auf eingeschleuste Einträge und testen danach Bestellprozess und Plugins – per Fernwartung, auf Wunsch auch kurzfristig. Termin buchen
Was genau ist das Problem?
Lücke 1 – Wartungsmodus: Eine Funktion im Backend prüfte nicht, ob die Anfrage von einem angemeldeten Administrator kommt. Ein einziger präparierter Aufruf genügt, um den Shop für alle Besucher zu sperren. Auf Kunden- oder Bestelldaten hat diese Lücke laut JTL keinen Einfluss – der Schaden ist der Ausfall: Solange niemand es bemerkt, kommen keine Bestellungen herein.
Lücke 2 – XSS in der Consent-Statistik: Einträge, die über den Consent-Manager gespeichert werden, wurden ungeprüft im Backend angezeigt. Ein Angreifer kann so Programmcode hinterlegen, der ausgeführt wird, sobald ein Administrator unter Statistiken → Consent-Manager die Statistik öffnet – mit den Rechten dieses Administrators. Damit lassen sich im schlimmsten Fall Einstellungen ändern, Konten anlegen oder Plugins einspielen.
Wichtig: Ein Update entfernt bereits eingeschleuste Einträge nicht. Die Consent-Statistik muss nach dem Update geprüft und bereinigt werden.
Bin ich betroffen?
Ihre Shop-Version sehen Sie im Backend unter /admin im Informations-Widget.
- 5.3.x: betroffen von Lücke 1
- 5.4.x und 5.5.x: betroffen von beiden Lücken, kein Patch mehr
- 5.6.0 bis 5.6.4, 5.7.0 bis 5.7.4, 5.8.0 bis 5.8.1: betroffen von beiden Lücken
- 5.6.5, 5.7.5, 5.8.2 oder neuer: abgesichert
- JTL-Hosting: von JTL bereits abgesichert
Was Sie jetzt tun sollten
- Consent-Statistik nicht öffnen, bis der Shop aktualisiert und geprüft ist. Wer das Recht dazu nicht braucht, dem entziehen Sie es vorübergehend.
- Update einspielen – auf 5.6.5, 5.7.5 bzw. 5.8.2, passend zu Ihrer Versionslinie. Vorher Datensicherung von Dateien und Datenbank.
- Kein sofortiges Update möglich? JTL stellt Patch-Dateien bereit, die nur die betroffenen Stellen austauschen. Sie gelten nur für die unterstützten Versionslinien.
- Consent-Statistik bereinigen: Nach dem Update die gespeicherten Einträge auf auffällige Namen prüfen und nur diese gezielt löschen. JTL beschreibt das Vorgehen im Sicherheitshinweis; es läuft direkt in der Datenbank – vorher sichern.
- Zugriffe prüfen: Gab es unerklärliche Wartungsphasen oder Kundenmeldungen über eine Wartungsseite? Im Zugriffsprotokoll des Servers sind Aufrufe von
/admin/logoutmit dem Parametersafemode=ein Hinweis auf die erste Lücke. - Bei 5.3 bis 5.5: Update auf eine unterstützte Version planen – mit Prüfung von Template und Plugins.
Finden sich verdächtige Einträge in der Consent-Statistik und wurde sie in der Zwischenzeit geöffnet, sollten Sie Admin-Konten, Rechte, Plugins und Einstellungen prüfen und die Passwörter der betroffenen Administratoren ändern.
Warum jetzt und nicht beim nächsten Update
Mit der Veröffentlichung ist bekannt, an welcher Stelle anzusetzen ist – automatisierte Scans nach verwundbaren Shops beginnen erfahrungsgemäß kurz danach. Die Wartungsmodus-Lücke ist trivial auszunutzen und trifft direkt den Umsatz. Die XSS-Lücke ist heimtückischer: Der Angriff wartet still in der Datenbank, bis ein Administrator die Statistik öffnet.
Wer noch auf 5.3 bis 5.5 arbeitet, hat keinen schnellen Patch. Hier hilft nur das Update auf eine unterstützte Version – je länger das aufgeschoben wird, desto länger bleibt der Shop angreifbar.
So unterstützen wir Sie
Wir prüfen Version und Hosting Ihres Shops, spielen das passende Update oder die Patch-Dateien ein, bereinigen die Consent-Statistik und testen danach Bestellprozess, Zahlungsarten und Plugins. Für Shops auf 5.3 bis 5.5 planen wir das Update auf eine unterstützte Version mit Datensicherung und Rückweg – mehr dazu in unserem Beitrag zum Shop-Update ohne Migrationsfehler. Wenn es schnell gehen muss, melden Sie sich – wir finden kurzfristig einen Termin.
Häufige Fragen
Ist mein Shop betroffen?
Von der Wartungsmodus-Lücke sind alle Versionen ab 5.3.0 betroffen, von der XSS-Lücke alle ab 5.4.0 – jeweils bis 5.6.4, 5.7.4 bzw. 5.8.1. Die Version steht im Backend unter /admin im Informations-Widget. Shops im JTL-Hosting hat JTL bereits selbst abgesichert.
Welche Versionen schließen die Lücken?
JTL-Shop 5.6.5, 5.7.5 und 5.8.2 – passend zu Ihrer Versionslinie.
Mein Shop läuft noch auf 5.3, 5.4 oder 5.5 – was nun?
Für diese Versionen gibt es keinen Patch mehr. Dauerhaft hilft nur das Update auf mindestens 5.6.5 – ein größerer Versionssprung mit Template- und Plugin-Prüfung, den wir für Sie planen und umsetzen.
Was passiert, wenn ich nicht sofort updaten kann?
JTL stellt Patch-Dateien bereit, die nur die betroffenen Stellen austauschen. Bis dahin sollte niemand die Consent-Statistik im Backend öffnen.
Wurden die Lücken schon ausgenutzt?
Laut JTL gibt es bisher keine Hinweise darauf. Mit der Veröffentlichung sind die Details aber bekannt – das Risiko steigt ab jetzt.
Quellen
- JTL-Sicherheitshinweis: Wartungsmodus ohne Anmeldung (CVE-2026-103905)
- JTL-Sicherheitshinweis: XSS in der Consent-Statistik (CVE-2026-103904)
- Sicherheitshinweis von JTL-Software an Kunden vom 14.10.2026 (E-Mail „Sicherheitshinweis für deinen Shop: Bitte aktualisieren“)