JTL-Shop-Sicherheitslücken 2026: Überblick, Mindestversion und Analyse zu CVE-2026-54390

Diese Seite führt die JTL-Shop-Sicherheitslücken des Jahres 2026 in zeitlicher Reihenfolge zusammen: welche Versionen betroffen waren, in welcher Version JTL den Fix geliefert hat, wann das war und unter welcher Kennung (CVE oder JTL-Ticket). Alle Angaben haben den Stand 26. Oktober 2026. Quellen sind die Sicherheitshinweise von JTL, das JTL-Releaseforum und die CVE-Datensätze.

Den Anfang macht CVE-2026-54390, die Lücke im E-Mail-Betreff vom Juni 2026. Ihre ausführliche Analyse steht im Hauptteil weiter unten. Für die späteren Vorgänge gibt es je einen eigenen Beitrag, auf den der Überblick verlinkt. Die PHP-Lücke aus dem Oktober ordnen wir bewusst getrennt ein, denn sie sitzt nicht im JTL-Shop.

• Stand 26.10.2026 sind laut JTL 5.8.2, 5.7.5 und 5.6.5 die aktuellen Versionen ihrer Linien, alle veröffentlicht am 14.10.2026. Unsere Empfehlung ist immer die aktuelle Version der eigenen Linie. Ältere Fixstände wie 5.7.2 sind laut JTL von späteren Lücken betroffen. Für 5.5 und älter nennt JTL für die Lücken vom 14.10. keine Patches mehr, dort ist das Upgrade auf 5.6.5 oder neuer die dauerhafte Abhilfe.
• Fünf Vorgänge mit eigenem JTL-Hinweis stehen im Überblick: CVE-2026-54390 (Fix am 17.06.), eine XSS-Lücke im Admin-Bereich (26.08., JTL nennt dazu keine CVE), SHOP-9886 (24.09.) sowie CVE-2026-103905 und CVE-2026-103904 (beide 14.10.). Das PHP-Update vom 21.10. ist keine Shop-Lücke, aber für den Server eine Pflicht.
• Für CVE-2026-54390 bestätigt JTL auf der eigenen Sicherheitsseite die Ausnutzung in der Praxis (Stand 06.08.2026). Ein Update allein reicht laut JTL nicht, wenn der Shop bereits angegriffen wurde. Also erst patchen, dann prüfen.

Wir begleiten mit der Vlarom E-Commerce Agentur JTL-Shop-Updates für Händler deutschlandweit und betreuen über 300 aktive Kunden im JTL-Ökosystem, seit über 10 Jahren. Die Angaben auf dieser Seite stammen aus den Originalquellen, nicht aus unserer Erinnerung. Wo JTL und andere Quellen voneinander abweichen oder etwas offenlassen, steht das so im Text.

JTL-Shop-Sicherheitslücken 2026 im Überblick

Die Reihenfolge entspricht dem Datum der Fixes. Fixangaben sind der Wortlaut von JTL. Schweregrade nennen wir immer mit Quelle und CVSS-Version, Aussagen zur Ausnutzung immer mit dem Stand, auf den sie sich beziehen. Zu jedem Vorgang führt ein Link auf den Beitrag, der ihn im Detail behandelt.

Die Vorgänge in zeitlicher Reihenfolge:

17.06.2026 · CVE-2026-54390 · SSTI im E-Mail-Betreff

Betroffen sind laut Sansec und CVE-Datensatz die Versionen 5.2.0 bis 5.7.1, ab 5.4.0 zusätzlich mit Codeausführung. JTL nennt auf der eigenen Sicherheitsseite alle Shop-5-Versionen ab 5.0.0. Fix laut JTL: 5.5.4, 5.6.2 und 5.7.2, dazu ein manueller Back-Patch. Der CVE-Datensatz (VulnCheck) nennt CVSS 3.1: 9,8. JTL bestätigt die Ausnutzung in der Praxis (Stand 06.08.2026). Die ausführliche Analyse steht im Hauptteil dieser Seite.

26.08.2026 · XSS in zwei Funktionen des Admin-Bereichs · keine Kennung von JTL

Betroffen sind laut JTL alle Shop-Versionen von 5.0.0 bis einschließlich 5.6.2 und 5.7.2. Fix laut JTL: 5.6.3, 5.7.3 und 5.8.0. JTL stuft die Kritikalität als hoch ein und nennt weder eine CVE noch eine Ticketnummer. Zur Ausnutzung schreibt JTL am 26.08.2026, es lägen keine Hinweise vor. Die Einzelheiten stehen im Beitrag XSS-Patch 5.7.3.

24.09.2026 · SHOP-9886 · Lieferadressen über das Retouren-Modul auslesbar

Betroffen sind laut JTL alle Versionen ab 5.3.0 bis einschließlich 5.6.3, 5.7.3 und 5.8.0. Fix laut JTL: 5.6.4, 5.7.4 und 5.8.1, für 5.3 bis 5.5 nur ein manueller Patch. CVSS 3.1: 6,5, von JTL als hoch eingestuft, eine CVE nennt JTL nicht. Ob die Lücke in produktiven Shops ausgenutzt wurde, lässt sich laut JTL im Regelfall nicht feststellen. Details im Beitrag Sicherheitslücke Retouren und Lieferadressen.

14.10.2026 · CVE-2026-103905 und CVE-2026-103904 · Wartungsmodus und Consent-Statistik

Fix laut JTL in 5.6.5, 5.7.5 und 5.8.2. CVE-2026-103905 (laut JTL: Wartungsmodus ohne Anmeldung umschaltbar, der CVE-Datensatz beschreibt es als Plugin-Safe-Mode) betrifft die Versionen ab 5.3.0, JTL stuft sie als hoch ein (CVSS 3.1: 7,5). CVE-2026-103904 (gespeichertes XSS in der Consent-Statistik) betrifft die Versionen ab 5.4.0, JTL stuft sie als kritisch ein (CVSS 3.1: 9,3, CVSS 4.0: 8,6). Für 5.5 und älter gibt es laut JTL keine Patches mehr. JTL meldet für beide keine Hinweise auf Ausnutzung (Stand 14.10.2026). Details im Beitrag Sicherheitsupdate 5.8.2.

21.10.2026 · PHP-Sicherheitsupdate · keine Shop-Lücke, aber Server-Pflicht

Das PHP-Projekt hat am 21.10.2026 die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht (CVE-2026-109618 und CVE-2026-109619, CVSS 4.0: 9,2 laut CVE-Datensatz). Das ist keine Lücke im JTL-Shop, sondern in der Laufzeitumgebung, auf der er läuft. Laut JTL-Guide braucht ein Shop ab Version 5.7 mindestens PHP 8.3 (Stand 26.10.2026). Was php.net zur Ausnutzung schreibt und was du bei deinem Hoster prüfst, steht im Beitrag PHP-Sicherheitsupdate für JTL-Shop.

Aus dieser Übersicht folgt ein Update auf die aktuelle Version deiner Linie, also 5.8.2, 5.7.5 oder 5.6.5. Alle in der Übersicht genannten Fixversionen liegen in ihrer Linie bei oder unter diesen Ständen. Ein Shop auf 5.7.2 hat die Lücke vom Juni geschlossen, ist laut JTL aber von allen vier späteren Vorgängen betroffen.

Welche Version ist die Mindestversion?

Die Tabelle zeigt je Linie den aktuellen Stand und, was JTL für ältere Versionen sagt. Sie ist ein Stand vom 26.10.2026 und gilt bis zum nächsten Release mit Sicherheitsfix.

CVE-2026-54390 im Detail: SSTI im E-Mail-Betreff

Diese Lücke war der Auslöser dieser Seite und ist der Teil, zu dem wir die ausführlichste Analyse führen. Sie wurde am 17. Juni 2026 gepatcht und von Sansec gemeldet. JTL nennt sie im Releaseforum eine SSTI (Server-Side Template Injection) im Betreff einer E-Mail. Quellen: die Analyse von Sansec, der CVE-Datensatz, das JTL-Releaseforum zu 5.7.2 und die JTL-Sicherheitsseite.

Der Angriffsweg: ein präparierter E-Mail-Betreff

Der Shop erzeugt seine E-Mails mit der Template-Engine Smarty. Bei dieser Lücke wird der Betreff einer E-Mail als Template ausgewertet statt als reiner Text. Laut Sansec funktioniert der Angriff unauthentifiziert, ein Zugang zum Shop-Backend ist nicht nötig.

Welche Auslöser im Shop konkret zu einer solchen E-Mail führen, haben wir nicht belegt und behaupten es deshalb nicht. Die betroffene Datei ist `/includes/src/Mail/Renderer/SmartyRenderer.php`.

Betroffene Versionen: zwei Angaben, die sich unterscheiden

Laut Sansec und CVE-Datensatz sind die Versionen 5.0.0 bis 5.1.8 nicht betroffen. Von 5.2.0 bis 5.3.x ist die Lücke auf ein Datenleck begrenzt, ab 5.4.0 kommt Codeausführung hinzu. Laut JTL-Sicherheitsseite sind dagegen alle JTL-Shop-5-Versionen ab 5.0.0 betroffen, die Codeausführung ab 5.4.0.

Wir stellen beide Angaben nebeneinander, weil wir sie nicht auflösen können. Für die Praxis ändert das wenig: JTL stellt für 5.0.0 bis 5.7.0 einen manuellen Back-Patch bereit, und wir empfehlen ohnehin das Versions-Update auf die aktuelle Version deiner Linie.

Ab 5.4.0 wird aus dem Datenleck eine Codeausführung

Bis Version 5.3.x lassen sich laut Sansec der Blowfish-Key, die Datenbank-Zugangsdaten sowie SMTP-, Newsletter-, FTP-, Redis-, OAuth- und SFTP-Zugänge auslesen. Ab Version 5.4.0 registriert der Shop zusätzlich die Smarty-Modifier `unserialize` und `file_get_contents`.

Über diese beiden lässt sich laut Sansec ohne Login eine Webshell ins Web-Root schreiben und als Webserver-Nutzer ausführen. Die Versionsgrenze 5.4.0 ist deshalb der Punkt, an dem aus dem Datenleck eine Remote Code Execution (RCE) wird.

Kennung und Schweregrad: Quelle ist der CVE-Datensatz

Die Kennung CVE-2026-54390 stammt aus dem CVE-Datensatz, ausgestellt von der CVE-Vergabestelle VulnCheck. JTL führt den Vorgang intern unter SHOP-9666. Der Datensatz wurde am 18.06.2026 veröffentlicht. Zum Vergabedatum der CVE-Nummer widersprechen sich die Quellen, deshalb nennen wir keines.

Den Schweregrad liefert ebenfalls der Datensatz: CVSS 3.1: 9,8 (kritisch) und CVSS 4.0: 9,3 (kritisch). Sansec selbst nennt keinen CVSS-Wert, sondern bezeichnet die Lücke als „critical“.

Ausnutzung: was JTL bestätigt und was offen ist

Sansec schrieb zur Veröffentlichung am 17.06.2026, es gebe bis dahin keine Hinweise auf aktive Ausnutzung. JTL bestätigt auf der eigenen Sicherheitsseite (Stand 06.08.2026) die Ausnutzung in der Praxis. Bestätigt wurde sie am 09.07.2026. JTL beschreibt Checkout-Skimming per eingeschleustem JavaScript und abgelegte Webshell-Dateien und nennt als relevanten Angriffszeitraum den Zeitraum ab der Patch-Veröffentlichung am 17.06.2026.

Der 09.07. ist das Datum der Bestätigung, nicht des Beginns. Laut JTL lässt sich nicht zuverlässig sagen, ob ein einzelner Shop schon vor der Entdeckung angegriffen wurde. Zahlen zu betroffenen Shops nennt JTL nicht, wir nennen deshalb auch keine.

Was JTL zu den beobachteten Angriffen schreibt

Laut JTL-Sicherheitsseite wurden in einigen bestätigten Fällen Dateien im Webroot abgelegt, und über die Datenbank wurde JavaScript eingeschleust, das im Checkout einen gefälschten Zahlungsdialog einblendet.

Die konkreten Prüfmerkmale beschreibt JTL auf der eigenen Sicherheitsseite. Wichtig ist: Der eingeschleuste Code sitzt in der Datenbank und bleibt aktiv, auch wenn befallene Dateien entfernt wurden.

Ein gepatchter Shop ist kein Beleg, dass er nicht angegriffen wurde

Laut JTL hat in mehreren Fällen die Schadsoftware die Datei SmartyRenderer.php nach der Kompromittierung selbst gepatcht. JTL empfiehlt deshalb, das Änderungsdatum der Datei zu prüfen, und sagt: Ein Update allein reicht nicht, wenn der Shop bereits angegriffen wurde. Die Reihenfolge laut JTL lautet: erst patchen, dann prüfen.

Shops im JTL Hosting sind laut JTL-Sicherheitsseite bereits abgesichert, wenn das Hosting bei JTL liegt. Wer manuell gepatcht hat, sieht im Backend einen Hinweis auf eine modifizierte Datei. Laut JTL verschwindet er erst durch ein späteres Versions-Update.

Kompromittierungs-Check mit dem EcomSec Security Scan

Im JTL Extension Store gibt es das Plugin EcomSec Security Scan – Kompromittierungs-Check für JTL-Shop 5, kostenfrei zzgl. gesetzlicher USt. (Artikelnummer exs_ES_1766). Hersteller ist EcomSec, nicht JTL. Die aktuelle Version im Store ist 1.0.7 vom 21.09.2026 (Stand 26.10.2026), kompatibel laut Store von 5.2.0 bis 5.8.*. Prüfe vor der Installation die Version im Store, denn sie ändert sich.

Laut Store-Beschreibung prüft der Scan unter anderem den Webroot nach YARA-Regeln der NSA und von JTL, ob SmartyRenderer.php gepatcht ist und wie es um Admin-Accounts und 2FA-Status steht. Der Hersteller beschreibt den Scan als Werkzeug zur schnellen Erstprüfung, nicht als Ersatz für eine forensische Analyse. Ein unauffälliger Scan ist deshalb keine Entwarnung.

CVE-2026-54390: die Zeitleiste

Die Daten stammen aus der Analyse von Sansec, dem CVE-Datensatz und der JTL-Sicherheitsseite.

Dein Update-Plan in sieben Schritten

So bringst du einen selbst gehosteten Shop auf den Stand deiner Linie und prüfst danach, ob er bereits angegriffen wurde. Die allgemeinen Sicherheitseinstellungen des Shops sind davon unabhängig und stehen im Guide-Kapitel Sicherheit in JTL-Shop.

Häufige Fragen zu den JTL-Shop-Sicherheitslücken 2026