Am 14. Oktober 2026 hat JTL gleich zwei Sicherheitslücken im JTL-Shop veröffentlicht und sie mit demselben Patch geschlossen. Beide betreffen aktuelle Shop-Versionen, und beide lassen sich ganz ohne Anmeldung ausnutzen. In diesem Beitrag erklären wir Ihnen in Ruhe, worum es geht, was jetzt zu tun ist, und warum unsere WAF-Kunden schon abgesichert waren, bevor sie überhaupt ein Update einspielen konnten.
Was ist passiert?
JTL hat die beiden Lücken über das eigene Security-Programm gemeldet und am 14. Oktober 2026 Updates für alle aktiven Versionszweige bereitgestellt. Das sind die Versionen 5.8.2, 5.7.5 und 5.6.5. Ein einziges Patch-Release schließt also beide Schwachstellen auf einmal.
Um die Lücken einzuordnen, hier die wichtigsten Eckdaten im Überblick:
| Lücke | CVE | Typ | Schwere |
|---|---|---|---|
| Consent-Manager | CVE-2026-103904 | Gespeichertes XSS | CVSS 9.3 (kritisch) |
| Wartungsmodus | CVE-2026-103905 | Fehlende Autorisierung (CWE-862) | CVSS 3.1: 7.5 / 4.0: 8.7 (hoch) |
Lücke 1: Das gespeicherte XSS im Consent-Manager (CVE-2026-103904)
Der Endpunkt, über den Ihr Shop die Cookie-Auswahl eines Besuchers speichert, prüft zwar den Wert jeder Einwilligung, nicht aber ihren Namen. Und genau dieser Name landet ungefiltert in der Datenbank. Später wird er im Backend, in der Einwilligungs-Statistik, wieder ausgegeben, ebenfalls ungefiltert.
Das Tückische daran ist der Zeitversatz. Ein Angreifer braucht keine Anmeldung, nur eine ganz normale Besuchersession, die Ihr Shop ohnehin jedem vergibt. Sein Script schlummert dann in der Datenbank und läuft erst in dem Moment los, in dem ein Administrator die Statistik öffnet. Dann aber mit dessen Rechten. Von dort lassen sich neue Benutzer anlegen, Rechte ändern und, wenn die Plugin-Verwaltung erlaubt ist, im schlimmsten Fall sogar Code auf dem Server ausführen.
Betroffen sind die Versionen 5.4.0 bis 5.6.4, 5.7.0 bis 5.7.4 sowie 5.8.0 bis 5.8.1. Behoben ist die Lücke in 5.6.5, 5.7.5 und 5.8.2.
Einen Punkt sollten Sie dabei unbedingt im Kopf behalten: Das Update entfernt bereits eingeschleuste Einträge nicht von selbst. War Ihr Shop vor dem Update verwundbar, lohnt sich ein prüfender Blick in die Tabelle der Einwilligungs-Statistik. Finden sich dort Namen mit HTML- oder Script-Zeichen, gehören die heraus. Das ist Handarbeit, bei der wir Ihnen gerne helfen.
Lücke 2: Der Wartungsmodus ohne Anmeldung (CVE-2026-103905)
Die zweite Lücke ist technisch simpel und gerade deshalb unangenehm. Ein Backend-Endpunkt nimmt die Anfrage zum Umschalten des Wartungsmodus entgegen, ohne zu prüfen, ob sie wirklich von einem angemeldeten Administrator kommt. Fachlich nennt sich das eine fehlende Autorisierung (CWE-862). Praktisch heißt es: Jeder kann den Wartungsmodus ein- und ausschalten, ganz ohne Zugangsdaten.
Gute Nachricht zuerst: Daten fließen dabei nicht ab, und Code lässt sich auch nicht ausführen. Die schlechte Nachricht ist der Ausfall. Ihre Kunden sehen nur noch die Wartungsseite und können nichts bestellen. Für einen Online-Shop ist jede Minute davon bares Geld, solange niemand eingreift.
Betroffen sind hier die Versionen 5.3.0 bis 5.8.1. Für die älteren Zweige 5.3.0 bis 5.5.x gibt es keine Patches mehr, dort führt der Weg über ein Upgrade auf 5.6.5 oder neuer. Behoben ist die Lücke in 5.6.5, 5.7.5 und 5.8.2. Wer in den eigenen Logs nachsehen möchte, achtet auf den Parameter safemode= in Aufrufen von /admin/logout. Das ist das verräterische Muster.
Alle Details hat JTL in der offiziellen Advisory zusammengefasst: JTL Security, Shop Maintenance Mode.
Was Sie jetzt tun sollten
So unterschiedlich die beiden Lücken sind, die Lösung ist dieselbe und sie ist eindeutig. Spielen Sie das JTL-Update ein. Welche Version für Sie die richtige ist, hängt nur von Ihrem aktuellen Stand ab:
- Sie sind auf 5.8.x? Dann geht es auf 5.8.2.
- Sie sind auf 5.7.x? Dann auf 5.7.5.
- Sie sind auf 5.6.x? Dann auf 5.6.5.
- Sie sind auf 5.3.0 bis 5.5.x? Dann brauchen Sie ein Upgrade auf 5.6.5 oder neuer, denn die alten Zweige bekommen keine Patches mehr.
Legen Sie vor dem Update bitte ein vollständiges Backup an, Datenbank und Dateien. Und falls Ihnen die Zeit fehlt oder Sie sich unsicher fühlen: Wir übernehmen das Update gerne für Sie.
Wie die EcomSec WAF schon am nächsten Tag geschützt hat
Zwischen dem Moment, in dem eine Lücke bekannt wird, und dem Moment, in dem das Update wirklich installiert ist, vergehen fast immer ein paar Tage. Das ist auch verständlich, denn ein Update will getestet und geplant sein. Nur ist genau diese Lücke im Kalender die gefährlichste Zeit, weil automatisierte Werkzeuge bekannte Schwachstellen oft schon nach wenigen Stunden abklopfen.
Deshalb sind wir in genau dieser Phase aktiv geworden. Schon einen Tag nach den Advisories von JTL stand in der EcomSec WAF (Version 1.0.2) ein Schutz gegen beide Lücken bereit, als eine Art virtueller Patch, der die Zeit bis zum Update überbrückt.
Beim Consent-XSS schaut die WAF gezielt auf den betroffenen Endpunkt und weist Einwilligungsnamen ab, die HTML-Zeichen enthalten. Das gilt auch dann, wenn die Anfrage als JSON hereinkommt. An dieser Stelle ist eine spitze Klammer ohnehin niemals legitim, also entsteht dabei kein Risiko, echte Besucher auszusperren.
Beim Wartungsmodus setzt eine vorgelagerte Prüfung an, und zwar noch bevor der Shop die Anfrage überhaupt verarbeiten würde. Sie fängt den unangemeldeten Umschalt-Versuch ab und lässt den regulären Rückweg trotzdem durch.
Für unsere betreuten Shops hieß das ganz konkret: Der Schutz wurde zentral ausgerollt, ohne dass die Händler selbst ein Update einspielen oder irgendetwas einstellen mussten. Er greift, während das JTL-Update in Ruhe getestet und eingeplant wird.
Eines möchten wir dabei nicht verschweigen: Eine WAF ersetzt das Update nicht. Sie überbrückt das Zeitfenster, in dem Ihr Shop sonst ungeschützt wäre. Wie dieser Schutz im Detail arbeitet, lesen Sie auf unserer Seite zur EcomSec WAF für JTL-Shop 5.
Sie sind unsicher, ob Ihr Shop betroffen ist? Oder Sie brauchen Unterstützung beim Update, beim Aufräumen eingeschleuster Consent-Einträge oder bei der Absicherung insgesamt? Schreiben Sie uns einfach an info [@] ecomsec.de. Eine erste Einschätzung bekommen Sie bei uns kostenlos.