JTL-Connector für WooCommerce: kritische Sicherheitslücke, Update nur von Hand

Markus Seyfferth

Autor Dr. Web

25. Okt. 2026

3 Min. Lesezeit

JTL-Software hat am 15. Oktober zwei Sicherheitslücken im JTL-Connector für WooCommerce geschlossen, über die Fremde ohne Anmeldung Dateien auf den Shop-Server laden und die Datenbank auslesen konnten. Wordfence bewertet die schwerere mit 9,8 von 10 Punkten als kritisch. Bei den Shops kommt Version 2.4.5 trotzdem nicht als Update an, weil WordPress.org das Plugin am 7. Oktober gesperrt hat.

Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen

Entdeckt hat der Sicherheitsforscher Supakiad S. den Fehler am 18. August, öffentlich wurde er am 13. Oktober, zwei Tage vor der Korrektur. Hinweise auf Angriffe sah die US-Behörde CISA bei ihrer Bewertung am 14. Oktober nicht, automatisieren lässt sich der Angriff laut CISA aber.^[1]

Auf einen Blick

Das Wichtigste in Kürze

Betroffen sind alle Versionen bis 2.4.3, abgesichert ist Version 2.4.5.
Ohne Anmeldung konnten Fremde Dateien hochladen, eigenen Code ausführen und Daten aus der Datenbank ziehen.
WordPress meldet das Update nicht, Shopbetreiber spielen 2.4.5 von Hand ein.
Version 2.4.5 setzt PHP 8.4 voraus.

Wie kamen Fremde ohne Anmeldung in den Connector?

Offenes weißes Vorhängeschloss mit orangefarbenem Anhänger, beschriftet mit „leer“ — JTL-Wawi überträgt über Connector Artikel, Bilder und Bestände zu WooCommerce. Die Schnittstelle nutzt Session-Token zur Authentifizierung

Über den Connector überträgt die kostenlose Warenwirtschaft JTL-Wawi Artikel, Bilder und Bestände in den WooCommerce-Shop. Die Schnittstelle liegt unter /index.php/jtlconnector/, angemeldet wird über einen Session-Token im Feld jtlauth, einen Schlüssel für die laufende Verbindung. Bis Version 2.4.3 fing der Code nur einen fehlenden Token ab, keinen leeren. Ein leeres Feld galt laut Wordfence als gültige Anmeldung.^[1]

Mit dieser Sitzung ließ sich der Bild-Upload missbrauchen. Die Funktion für Produktbilder prüfte den Dateityp nicht ausreichend (CVE-2026-87855), eine PHP-Datei mit Schadcode konnte so im Upload-Ordner von WordPress landen.^[1] Die zweite Lücke, CVE-2026-78193 mit 7,5 Punkten, erlaubte ohne Anmeldung eine SQL-Injection über die Produktschnittstelle. Bei dieser Variante verrät die Antwortzeit des Servers den Inhalt der Datenbank Zeichen für Zeichen.^[2]

Warum zeigt WordPress das Update nicht an?

WordPress.org hat das Plugin am 7. Oktober gesperrt, laut Hinweis vorübergehend bis zu einer vollständigen Prüfung.^[3] Version 2.4.5 liegt trotzdem seit dem 15. Oktober in der Versionsverwaltung des Verzeichnisses, laut Änderungsprotokoll mit beiden Korrekturen.^[4] Die Update-Prüfung von WordPress meldet für gesperrte Plugins aber keine neue Version. Eine Abfrage der Redaktion für Version 2.4.3 blieb am 25. Oktober leer, für LatePoint und bbPress nannte sie die aktuellen Versionen.^[5] Die Sicherheitsdatenbank Patchstack führt den Connector deshalb weiter als Plugin ohne offizielle Korrektur.^[9]

Für JTL ist Version 2.4.5 das dritte Sicherheitsupdate seit Juni. Version 2.4.2 schloss im Juni eine Lücke, über die angemeldete Abonnenten die Einstellungen ändern konnten (CVE-2026-9234),^[6] Version 2.4.3 speicherte im August die Tokens nur noch als Hashwert.^[4] Wie schnell eine Lücke in einem Zusatz-Plugin den ganzen Shop gefährdet, zeigte im Oktober auch Blocksy Companion, über das sich Fremde im Marktplatz-Plugin Dokan zu Verkäufern machten.

Ein Update, das kein Dashboard anzeigt, kommt in den meisten Shops nie an.
Michael Dobler, Herausgeber Dr. Web

JTL-Connector für WooCommerce: korrigiert, aber nicht verteilt

Bewertung und Ablauf laut CVE-Datensätzen von Wordfence und dem Plugin-Verzeichnis von WordPress.org, Stand 25. Oktober 2026.

9,8

von 10 Punkten für den Datei-Upload ohne Anmeldung (CVE-2026-87855)

7,5

von 10 Punkten für die SQL-Injection ohne Anmeldung (CVE-2026-78193)

Tage vergingen vom Fund bis zur abgesicherten Version

PHP 8.4

verlangt Version 2.4.5, Version 2.4.3 lief noch mit PHP 8.3

Vom Fund bis zum Update von Hand

DatumEreignis

18. AugustSicherheitsforscher entdeckt den Datei-Upload ohne Anmeldung

7. OktoberWordPress.org sperrt das Plugin bis zu einer vollständigen Prüfung

14. OktoberWordfence veröffentlicht beide Sicherheitslücken mit CVE-Nummer

15. OktoberJTL lädt Version 2.4.5 mit beiden Korrekturen hoch

25. OktoberDie Update-Prüfung von WordPress meldet 2.4.5 weiterhin nicht

Was sollten Shopbetreiber jetzt tun?

Am Connector hängt der Abgleich von Artikeln, Beständen und Bestellungen mit JTL-Wawi. Hat eine WooCommerce-Agentur die Anbindung eingerichtet, sollte sie nach dem Update den Abgleich testen.

Prüfen Sie unter „Plugins“ die Versionsnummer. Den Download von 2.4.5 liefert WordPress.org weiter aus,^[7] eingespielt wird die ZIP-Datei über „Plugin hochladen“, nach einer Sicherung mit einem der Backup-Plugins für WordPress.
Klären Sie vorher mit Ihrem Hoster, ob der Server PHP 8.4 bietet. Beim Wechsel hilft der WordPress-Hosting-Vergleich.
Bis zum Update schließt Deaktivieren die Schnittstelle, weil WordPress den Connector nur bei aktivem Plugin lädt. Der Abgleich mit JTL-Wawi ruht dann.
Suchen Sie im Ordner wp-content/uploads nach PHP-Dateien, kontrollieren Sie die Liste der Administratoren und vergeben Sie ein neues Connector-Passwort.
Finden Sie Spuren eines Zugriffs auf Kundendaten, melden Sie den Vorfall in der Regel binnen 72 Stunden der Datenschutzaufsicht.^[8] Bei der Bereinigung helfen Dienstleister für gehackte WordPress-Websites.