Alexander LuftVon Alexander Luft
JTL Service Partner Gold · Ahrensfelde bei Berlin · 17. Juni 2026 · 7 Min. Lesezeit

JTL Shop 5 Sicherheitslücke: SSTI-Schwachstelle betrifft alle Versionen ab 5.0.0 — Patch jetzt einspielen

Heute hat JTL eine kritische Sicherheitslücke im JTL Shop 5 bekanntgegeben. Entdeckt wurde sie vom Sansec Threat Research Team gemeinsam mit JTL im Rahmen des kontinuierlichen Security-Programms. Die Schwachstelle steckt im E-Mail-Template-System des Shops und betrifft alle Versionen ab 5.0.0. Patches sind für alle aktiven Versionen verfügbar — für 5.7.1-Nutzer bedeutet das: Update auf 5.7.2. Wer im JTL Hosting ist, muss nichts tun, der wurde bereits automatisch abgesichert.

Du betreibst einen selbst gehosteten JTL Shop und willst wissen, ob du betroffen bist und was jetzt zu tun ist?

Dieser Beitrag erklärt, was die Schwachstelle technisch bedeutet, wer betroffen ist, welche Patches JTL bereitgestellt hat und in welcher Reihenfolge du vorgehst. Direkt aus dem Partner-Newsletter von JTL und unserer Einschätzung als JTL Service Partner Gold.

JTL Shop 5 Sicherheitslücke — SSTI-Schwachstelle betrifft alle Versionen ab 5.0.0, Patch auf 5.7.2 einspielen

Auf einen Blick

  • ✓JTL hat eine kritische Server-Side Template Injection (SSTI) in JTL Shop 5 bekanntgegeben — entdeckt gemeinsam mit dem Sansec Threat Research Team. Betroffen sind alle Shop-Versionen ab 5.0.0. Die Lücke steckt in der Datei `/includes/src/Mail/Renderer/SmartyRenderer.php`. Konkrete Hinweise auf eine Ausnutzung liegen laut JTL bisher nicht vor.
  • ✓Über die Schwachstelle lassen sich der Blowfish-Key und das Datenbankpasswort des Shops auslesen. Ab Version 5.4.0 ist zusätzlich Remote Code Execution (RCE) möglich — also das Ausführen beliebigen Codes auf dem Server. Das ist kein Bagatell-Bug.
  • ✓Patches stehen für alle aktiven Versionen bereit: 5.5.4, 5.6.2 und 5.7.2. Wer auf 5.7.1 läuft, spielt den Patch auf 5.7.2 ein. JTL Hosting-Kunden wurden bereits automatisch abgesichert.

Wir bei Vlarom E-Commerce Agentur begleiten JTL-Shop-Updates für Händler deutschlandweit (Quelle: JTL-Software Partnerverzeichnis). Security-Patches gehören zu den Fällen, bei denen wir unseren Kunden aktiv auf die Schulter tippen: Das muss diese Woche erledigt sein. Nicht weil Panik angebracht wäre, sondern weil ein bekannter, veröffentlichter Exploit ein Fenster öffnet, das jeden Tag größer wird. Wir haben heute Morgen den JTL Partner-Newsletter gelesen und rufen betroffene Kunden bereits durch.

Was hinter der Sicherheitslücke steckt — die wichtigsten Fakten

Für Entscheidungen braucht man Fakten, keine Panik. Hier sind die technischen Details aus dem offiziellen JTL Partner-Newsletter vom 17. Juni 2026, die relevant sind.

Quelle: JTL Partner-Newsletter, 17.06.2026 (partner@jtl-software.com): „Es handelt sich um eine Server-Side Template Injection (SSTI) im Betreff einer E-Mail. Darüber lässt sich potenziell der Blowfish-Key oder das Datenbankpasswort auslesen. Ab Shop 5.4.0 ist zusätzlich eine Remote Code Execution (RCE) möglich. Die Art der Schwachstelle erlaubt keine zuverlässige Aussage darüber, ob sie vor Entdeckung ausgenutzt wurde; konkrete Missbrauchshinweise liegen uns nicht vor.“

Die fünf wichtigsten Punkte zur Einordnung:

  • →Angriffsvektor: E-Mail-Betreff: Die Lücke steckt nicht im Checkout oder Login, sondern im Template-System für ausgehende E-Mails. Ein Angreifer muss eine E-Mail mit präpariertem Betreff auslösen können — zum Beispiel über ein Kontaktformular, eine Bestellung oder einen anderen Auslöser, der eine Shop-E-Mail triggert. Das ist kein direkter, sofortiger Angriff, aber kein theoretisches Szenario.
  • →Betroffene Datei: SmartyRenderer.php: Der Fehler liegt in `/includes/src/Mail/Renderer/SmartyRenderer.php`. Wer den manuellen Patch einspielt, sieht danach im Backend einen Hinweis auf eine modifizierte Datei — das ist korrekt und kein Fehler, sondern zeigt, dass der Patch aktiv ist.
  • →Schweregrad steigt ab Version 5.4.0: Für Shops auf 5.0.0 bis 5.3.x ist das Risiko auf Datenleck (Blowfish-Key, DB-Passwort) begrenzt. Ab 5.4.0 kommt RCE hinzu — das bedeutet, ein Angreifer kann im schlimmsten Fall beliebigen Code auf dem Server ausführen. Das stuft den Schweregrad erheblich herauf.
  • →JTL Hosting: bereits abgesichert: Shops im JTL Hosting wurden von JTL automatisch und ohne Zutun des Händlers abgesichert. Diese Shops sehen im Backend einen Hinweis auf eine modifizierte Datei — das ist gewollt. Hier ist nichts weiter zu tun.
  • →Aktive Ausnutzung: keine bekannten Fälle: JTL hat laut offiziellem Partner-Newsletter zum jetzigen Zeitpunkt keine konkreten Hinweise auf eine aktive Ausnutzung der Lücke. Das ist ein relevanter Unterschied zu einem Zero-Day, bei dem eine Lücke bereits aktiv ausgenutzt wird, bevor ein Patch verfügbar ist. Trotzdem: Veröffentlichte Lücken werden schnell von automatisierten Angriffstools aufgegriffen.

Dein Patch-Plan: JTL Shop 5 Sicherheitslücke in fünf Schritten beheben

So spielst du den JTL Shop Sicherheitspatch schnell und sicher ein — Schritt für Schritt.

Deine aktuelle Shop-Version prüfen

Melde dich im JTL Shop Backend unter `/admin` an. Im Dashboard-Widget ‚Informationen‘ steht deine aktuelle Version. Alternativ: im Informations-Widget unter Administration > System. Notiere die genaue Versionsnummer — das bestimmt welchen Patch du brauchst.

Passenden Patch im JTL Releaseforum herunterladen

Auf 5.7.1? Download für 5.7.2 im offiziellen JTL Releaseforum unter forum.jtl-software.de. Auf 5.6.1? Download für 5.6.2. Auf 5.5.3? Download für 5.5.4. Ältere Versionen (5.0.0–5.7.0, die keine direkte Patch-Version bekommen): manueller Patch über den separaten Patch-Download im Forum. Nur die offiziellen JTL-Quellen verwenden — kein Drittanbieter-Download.

Vollständiges Backup anlegen

Vor jedem Update: Backup der Datenbank (SQL-Dump) und aller Shop-Dateien. Ohne Backup kein Update — das gilt für Sicherheitspatches genauso wie für reguläre Updates. Im Hosting-Panel des Anbieters gibt es meist eine Einzel-Backup-Funktion, alternativ per SSH und mysqldump.

Patch über den JTL Update-Assistenten einspielen

Das Update läuft über den regulären Update-Assistenten im JTL Shop Backend unter Administration > System > Aktualisieren. Das Vorgehen ist identisch mit einem normalen Shop-Update: ZIP hochladen, Installationsroutine durchlaufen, Datenbank-Update ausführen. Bei Version 5.7.1 auf 5.7.2 handelt es sich um einen reinen Sicherheitspatch, keine umfangreiche Feature-Änderung.

Testen und bestätigen

Nach dem Update: Bestellung testweise durchlaufen, E-Mail-Versand prüfen (Bestellbestätigung, Versandbestätigung), Connector-Verbindung überprüfen. Backend unter Administration > System > Diagnose aufrufen — dort werden Dateikonsistenz-Probleme angezeigt. Wenn der manuelle Patch eingespielt wurde, zeigt das Backend einen Hinweis auf eine modifizierte Datei bei SmartyRenderer.php. Das ist normal und korrekt.

Häufige Fragen zum JTL Shop Sicherheitsupdate Juni 2026

Muss ich sofort patchen oder kann ich bis zum Wochenende warten?

Warte nicht länger als diese Woche. Eine veröffentlichte Sicherheitslücke mit bekanntem Angriffsvektor wird von automatisierten Scanning-Tools innerhalb von Stunden bis Tagen aufgegriffen. Heute Nacht um 2 Uhr musst du nicht ran, aber diese Woche sollte der Patch eingespielt sein. Je älter die bekannte Lücke, desto größer das Angriffsfenster.

Nein. JTL hat alle Shops im JTL Hosting bereits automatisch abgesichert, ohne dass du eingreifen musstest. Im Backend siehst du möglicherweise einen Hinweis auf eine modifizierte Datei — das ist korrekt und kein Fehler. Dieser Hinweis verschwindet erst durch ein reguläres Update auf eine neue gepatchte Version.

SSTI ist ein Angriffsmuster, bei dem Schadcode in ein Template-System eingeschleust wird. JTL Shop nutzt die Smarty Template Engine für E-Mail-Vorlagen. Wenn ein Angreifer über einen manipulierten E-Mail-Betreff Smarty-Befehle einschleusen kann, verarbeitet der Server diese als Code statt als Text. Das erlaubt ihm, auf Systemdaten zuzugreifen — in diesem Fall Blowfish-Key und Datenbankpasswort, ab 5.4.0 auch die Ausführung beliebiger Befehle auf dem Server.

Der Blowfish-Key ist der Verschlüsselungsschlüssel, mit dem JTL Shop sensible Daten in der Datenbank verschlüsselt. Wenn ein Angreifer diesen Schlüssel besitzt, kann er verschlüsselte Datenbankinhalte entschlüsseln. Das betrifft je nach Konfiguration Passwort-Hashes und andere sensible gespeicherte Daten. Es ist kein sofortiger Zugriff auf alle Kundendaten, aber ein erhebliches Datenschutzrisiko.

JTL stellt für alle Versionen ab 5.0.0 einen manuellen Patch bereit, der im JTL Releaseforum zum Download steht. Die Anleitung zur manuellen Einspielung ist dort ebenfalls dokumentiert. Nach dem manuellen Patch zeigt das Backend einen Hinweis auf die modifizierte Datei — das ist normal. Gleichzeitig empfehlen wir dringend, mittelfristig auf eine aktuelle Version zu aktualisieren: Ältere Versionen können weitere Sicherheitslücken enthalten.

Die Schwachstelle wurde gemeinsam von JTL und dem Sansec Threat Research Team im Rahmen von JTLs Security-Programm entdeckt. Sansec ist auf E-Commerce-Sicherheit spezialisiert und bekannt für die Analyse von Angriffen auf Magento, WooCommerce und andere Shop-Systeme. Die Zusammenarbeit mit externen Security-Forschern vor der Veröffentlichung (Coordinated Disclosure) ist ein Zeichen dafür, dass JTL das Thema ernst nimmt.

Nein. Das Update von 5.7.1 auf 5.7.2 ist ein kostenloser Sicherheitspatch über den regulären JTL Shop Update-Assistenten im Backend. Keine Lizenzgebühr, kein Store-Kauf. Einzige Ausnahme: Wenn du externe Unterstützung bei der Einspielung holst — dann entstehen ggf. Kosten für den Dienstleister.

Du willst den Patch sicher und ohne Ausfall einspielen lassen?

Wir spielen den JTL Shop Sicherheitspatch für dich ein — mit Backup und Abnahmetest.

Als JTL Service Partner Gold aus Ahrensfelde bei Berlin begleiten wir Shop-Updates für Händler deutschlandweit (Quelle: JTL-Software Partnerverzeichnis). Wir legen das Backup an, spielen den Patch ein, testen Bestellung und E-Mail-Versand und bestätigen dir, dass der Shop sauber läuft. Ruf uns direkt an unter +49 30 91473862, schreib an info@vlarom.de oder nutze das Kontaktformular.

Autor

Alexander Luft

JTL Service Partner Gold · Vlarom E-Commerce Agentur · Ahrensfelde bei Berlin