Diese Anleitung führt Sie in wenigen Minuten durch die komplette Prüfung.
Worum geht es?
Die Sicherheitslücke CVE-2026-54390 (SSTI mit Remote Code Execution, betroffen sind JTL-Shop 5.2.0 bis 5.7.1) wird seit dem 17. Juni 2026 aktiv ausgenutzt. Angreifer hinterlegen dabei typischerweise Backdoor-Dateien wie site.php im Shop-Verzeichnis, legen sich eigene Admin-Zugänge an oder manipulieren Zahlungsarten.
Die JTL-Empfehlungen sind richtig – aber ohne SSH-Zugang und Kommandozeilen-Erfahrung schwer umsetzbar. Der EcomSec Security Scan übersetzt sie in wenige Klicks im Backend. Das Plugin arbeitet dabei vollständig lokal auf Ihrem Server, rein lesend, ohne Phone-Home: Keine einzige Information verlässt Ihren Shop.
Schritt 1: Plugin installieren
Den EcomSec Security Scan erhalten Sie kostenlos im JTL Extension Store. Installieren Sie ihn wie gewohnt über Ihr Backend unter Plugins → Meine Erweiterungen und aktivieren Sie ihn. Voraussetzung ist JTL-Shop ab Version 5.3.
Nach der Aktivierung finden Sie im Admin-Menü drei neue Bereiche: Security Scan, Shop-Integrität und Handlungsempfehlungen.
Schritt 2: Datei-Scan starten
Öffnen Sie den Reiter Security Scan. Das Stichtags-Datum ist bereits auf den 17.06.2026 voreingestellt – das Datum, seit dem die Lücke ausgenutzt wird. Klicken Sie auf „Scan starten”. Der Scan dauert in der Regel unter einer Minute und prüft Ihren Webroot auf:
- Bekannte Webshell-Dateinamen – abgeglichen gegen IOC-Listen von CISA, NSA und MITRE sowie die spezifischen Artefakte von CVE-2026-54390 (z. B. site.php)
- Neue oder veränderte PHP-Dateien seit dem Stichtag – inklusive Hinweisen auf mögliche Zeitstempel-Manipulation
- PHP-Dateien in Upload- und Medienverzeichnissen – dort hat ausführbarer Code nichts verloren
- Manipulierte .htaccess-Dateien, die Bilder als PHP ausführbar machen oder externen Code nachladen
- Verdächtige Code-Muster nach den YARA-Regeln der NSA („Mitigating Web Shells”) und dem NBS PHP-Malware-Finder
Tipp: Über die Option “Erweitert: includes/ mitscannen” können Sie den Prüfumfang auf den Kernbereich ausweiten. Für die erste Prüfung genügt der Standard-Scan.
Schritt 3: Ergebnis richtig einordnen
Nach dem Scan sehen Sie eine klare Bewertung:
Unauffällig (grün): Keine Anzeichen einer Kompromittierung gefunden. Eine gute Nachricht – aber keine hundertprozentige Entwarnung (dazu unten mehr).
Warnung (gelb): Es gibt Befunde, die geprüft werden sollten – häufig sind das legitime Fälle wie ein kürzliches Shop-Update oder der Lizenzschutz bekannter Store-Plugins. Das Plugin erklärt Ihnen bei jedem Befund, worum es sich handeln kann. Nehmen Sie sich die Liste in Ruhe vor.
Kritisch (rot): Es wurden hochverdächtige Muster gefunden – etwa bekannte Webshell-Dateinamen oder eindeutige Backdoor-Signaturen. Handeln Sie jetzt zügig: Folgen Sie den Sofortmaßnahmen im Reiter Handlungsempfehlungen und ziehen Sie professionelle Unterstützung hinzu.
Damit Sie nicht von Fehlalarmen überflutet werden, erkennt das Plugin Massen-Ereignisse automatisch: Ein Shop-Update, das hunderte Dateien gleichzeitig ändert, erscheint als ein einziger erklärender Hinweis – nicht als hundert Warnungen.
Schritt 4: Shop-Integrität prüfen
Angreifer hinterlassen Spuren nicht nur im Dateisystem, sondern auch in Ihrer Datenbank. Wechseln Sie in den Reiter Shop-Integrität und starten Sie den Check. Geprüft werden:
- Admin-Accounts: Wurden nach dem Stichtag neue Zugänge angelegt? Sie sehen alle Accounts mit letztem Login auf einen Blick – unbekannte Einträge sind ein Alarmsignal.
- Zwei-Faktor-Authentifizierung: Welche Ihrer Admin-Zugänge sind noch ungeschützt? Aktivieren Sie 2FA für jeden einzelnen.
- Zahlungsarten: Wurden neue Zahlungsarten angelegt? Zahlungsumleitung ist eines der häufigsten Schadensszenarien bei kompromittierten Shops.
- Konfigurationsdatei: Sind die Dateiberechtigungen Ihrer config.JTL-Shop.ini.php sicher gesetzt?
Schritt 5: Handlungsempfehlungen abarbeiten
Der dritte Reiter fasst die JTL-Sicherheitsmitteilung als priorisierte Checkliste zusammen: Sofortmaßnahmen, Kompromittierungsprüfung, dauerhafte Absicherung. Hat Ihr letzter Scan kritische Befunde ergeben, weist das Plugin Sie hier direkt darauf hin. Arbeiten Sie die Punkte von oben nach unten ab – auch wenn Ihr Scan unauffällig war, lohnen sich die Härtungsmaßnahmen wie 2FA und restriktive Dateiberechtigungen in jedem Fall.
Nicht nur für den Akutfall: Machen Sie den Scan zur Routine
Der eigentliche Mehrwert entsteht durch regelmäßige Nutzung: Führen Sie den Scan einmal pro Woche durch – etwa montags vor dem Wochenstart – und zusätzlich nach jeder Plugin-Installation oder jedem Update. Das Plugin speichert Ihre Scan-Historie, sodass Sie Veränderungen über die Zeit nachvollziehen können. So wird aus dem Akut-Check ein dauerhaftes Frühwarnsystem für Ihren Shop.
Was der Scan leistet – und was nicht
Der EcomSec Security Scan ist ein Triage-Werkzeug, kein Forensik-Ersatz. Ein kritischer Befund ist ein belastbares Warnsignal, dem Sie sofort nachgehen sollten. Ein unauffälliges Ergebnis ist eine Momentaufnahme: Ein bereits tief kompromittierter Server kann Prüfergebnisse manipulieren, und gezielt verschleierte Angriffswerkzeuge können signaturbasierter Erkennung entgehen. Ergänzen Sie den Scan daher – wo möglich – um einen Blick in Ihre Server-Access-Logs (gehäufte Zugriffe auf /site.php mit HTTP 200 sind ein deutliches Warnsignal). Bei bestätigter Kompromittierung führt an einer professionellen Analyse und im Zweifel an einer Neuinstallation kein Weg vorbei.
Kritische Befunde? Wir sind für Sie da.
Zeigt Ihr Scan kritische Ergebnisse und Sie brauchen Unterstützung bei der Bewertung, Bereinigung oder Absicherung Ihres Shops: Genau dafür gibt es EcomSec. Wir analysieren Ihren Fall, sichern Spuren und bringen Ihren Shop sicher zurück in den Betrieb.