Shopware: Kritische Lücken in Shopware 6, Shopware 5 ohne Updates

Shopware hat am 25. August und am 16. September 2026 Sicherheitsupdates für Shopware 6 veröffentlicht. Mehrere Lücken stuft Shopware als kritisch ein.

Das Wichtigste in Kürze

• Eine Lücke erlaubt es, über einen manipulierten Link zum Zurücksetzen des Passworts das Admin-Konto zu übernehmen.
• Über die Store API waren SQL-Injections ohne Login möglich, also Befehle direkt an die Datenbank.
• Sicher sind Shopware 6.6.10.25 und 6.7.14.1 oder neuer.
• Shopware 5 bekommt seit Ende Juli 2024 keine Updates mehr und läuft nur mit PHP-Versionen bis 8.2.

Was ist passiert?

Die wichtigsten Lücken, mit Shopwares eigener Einstufung:

• Admin-Übernahme über den Passwort-Link (kritisch, 9,3): Ein Angreifer kann eine E-Mail zum Zurücksetzen des Passworts so manipulieren, dass der Link zu ihm führt. Klickt der Admin darauf, kann der Angreifer das Konto übernehmen. Als Übergang hilft laut Shopware die Einstellung trusted_hosts in Symfony.
• Fremder Code über Apps (kritisch, 9,6 und 9,1): Eine schädliche oder gekaperte App kann PHP-Funktionen und Systembefehle ausführen.
• SQL-Injection über die Store API (hoch, 8,6): ohne Login, mit dem Zugangsschlüssel eines Verkaufskanals, der bei Headless-Shops öffentlich ist. Shopware spricht vom möglichen Zugriff auf sensible Daten. Sansec, die die Lücke gefunden haben, schreiben, dass sich darüber ein Admin-Konto übernehmen und PHP-Code ausführen lässt.
• Webhooks umgehen Rechte (kritisch, 9,6): Wer Webhooks anlegen darf, kommt an Kunden- und Bestelldaten.
• Noch eine SQL-Injection über die Store API (hoch, 8,6): nur auf PHP älter als 8.4 mit einer bestimmten Datenbankeinstellung. Laut Shopware hilft PHP 8.4 oder neuer.

Hinweise auf Angriffe haben wir weder von Shopware noch von Sansec gefunden.

Bist du betroffen?

Ja, wenn dein Shop auf Shopware 6 läuft und älter ist als 6.6.10.25 oder 6.7.14.1. Die Version siehst du in der Shopware-Administration.

Shopware 5

Shopware 5 bekommt seit Ende Juli 2024 keine Sicherheitsupdates mehr. Die letzte Version ist 5.7.20, und sie läuft höchstens mit PHP 8.2, das selbst nur noch bis Ende 2026 Updates bekommt. Mit PHP2Shell ist gerade eine kritische Lücke in PHP bekannt geworden.

Der Weg ist der Umstieg auf Shopware 6. Das ist eher ein neuer Shop als ein Update: Theme und Plugins müssen neu, Daten wie Produkte, Kunden und Bestellungen ziehen um. Wir planen das mit dir, ohne dass Bestellungen verloren gehen.

Was du jetzt tun solltest

1. Shopware 6 aktualisieren auf die neueste Version von 6.6 oder 6.7.
2. Apps und Plugins prüfen: Nur installieren, was du brauchst, und alles aktuell halten.
3. PHP auf 8.4 oder neuer, Shopware 6.6 und 6.7 laufen mit PHP 8.2 bis 8.5.
4. Shopware 5: den Umstieg planen. Bis dahin PHP so aktuell wie möglich und abgesichert gegen PHP2Shell.

Quellen

• Shopware: Security Advisories auf GitHub
• Sansec: Shopware fixes Store API admin takeover vulnerability
• Shopware: Shopware’s new release policy