JTL-Shop: Kritische Lücke über das Cookie-Banner, Versionen 5.4 und 5.5 ohne Update

Am 14. Oktober 2026 hat JTL zwei Lücken im JTL-Shop gemeldet. JTL stuft die schwerere als kritisch ein.

Das Wichtigste in Kürze

• Über die Schnittstelle, die Einwilligungen aus dem Cookie-Banner speichert, kann jeder Besucher Code einschleusen. Er läuft, sobald jemand die Administration öffnet.
• Über eine zweite Lücke kann jeder den Wartungsmodus des Shops ein- und ausschalten, ohne Login.
• Sicher sind JTL-Shop 5.6.5, 5.7.5 und 5.8.2. Für 5.4 und 5.5 gibt es kein Update.
• Angriffe sind laut JTL bisher nicht bekannt.

Was ist passiert?

CVE-2026-103904: Über die öffentliche Schnittstelle, die Einwilligungen aus dem Cookie-Banner speichert, lässt sich Code ablegen. Er läuft im Browser eines Admins, sobald die Daten in der Administration angezeigt werden. Hat dieser Admin Rechte für Plugins oder Templates, kann daraus laut JTL unter Umständen Code auf dem Server werden. JTL stuft das als kritisch ein (9,3 nach CVSS 3.1, 8,6 nach CVSS 4.0).

CVE-2026-103905: Jeder kann den Wartungsmodus ohne Anmeldung umschalten. Betroffen sind JTL-Shop 5.3.0 bis 5.8.1.

JTL schreibt: „Uns liegen derzeit keine Hinweise auf eine Ausnutzung vor.“

Schon im Juni hatte JTL eine Lücke geschlossen, über die sich ohne Login Code ausführen ließ (CVE-2026-54390, behoben in 5.5.4, 5.6.2 und 5.7.2).

Bist du betroffen?

Ja, wenn dein Shop auf JTL-Shop 5 vor 5.6.5, 5.7.5 oder 5.8.2 läuft. Die Version siehst du im Backend des Shops.

Was du jetzt tun solltest

1. Aktualisieren auf 5.6.5, 5.7.5, 5.8.2 oder neuer.
2. JTL-Shop 5.4 oder 5.5: Es gibt kein Update. Plan den Wechsel auf eine aktuelle Version, PHP gleich mit.
3. PHP prüfen. Seit dem 21. Oktober ist PHP2Shell bekannt, eine kritische Lücke in PHP selbst. Ein aktueller JTL-Shop schützt davor nicht.

Quellen

• JTL: Sicherheitslücke im JTL-Shop (XSS), 14. Oktober 2026
• JTL: Wartungsmodus im JTL-Shop, 14. Oktober 2026
• Sansec: JTL-Shop SSTI RCE, Juni 2026