JTL Shop 5 Sicherheitslücke: SSTI-Schwachstelle betrifft Versionen 5.2.0 bis 5.7.1 — Patch jetzt einspielen

Auf einen Blick

• ✓JTL hat am 17.06.2026 eine kritische Server-Side Template Injection (SSTI, CVE-2026-54390, CVSS 9,8 kritisch) in JTL Shop 5 gepatcht, entdeckt vom Sansec Threat Research Team. Betroffen sind die Shop-Versionen 5.2.0 bis 5.7.1, die Lücke steckt in der Datei `/includes/src/Mail/Renderer/SmartyRenderer.php`. Update vom 24.07.2026: Die aktive Ausnutzung der Lücke ist inzwischen bestätigt. Laut der offiziellen JTL-Sicherheitsseite (Stand 23.07.2026) liegen seit dem 09.07.2026 bestätigte Fälle vor, beobachtetes Angriffsmuster ist Skimming über eingeschleustes JavaScript im Checkout.
• ✓Über die Schwachstelle lassen sich der Blowfish-Key und das Datenbankpasswort des Shops auslesen. Ab Version 5.4.0 ist zusätzlich Remote Code Execution (RCE) möglich — also das Ausführen beliebigen Codes auf dem Server. Das ist kein Bagatell-Bug.
• ✓Patches stehen für alle aktiven Versionen bereit: 5.5.4, 5.6.2 und 5.7.2. Wer auf 5.7.1 läuft, spielt den Patch auf 5.7.2 ein. JTL Hosting-Kunden wurden bereits automatisch abgesichert.
• ✓Weil die Lücke nachweislich ausgenutzt wurde, reicht ein eingespielter Patch allein nicht mehr aus. Prüfe deinen Shop zusätzlich auf Kompromittierungsspuren: mit dem kostenlosen EcomSec Security Scan aus dem JTL Extension Store und einem manuellen Blick in Standardelemente > Footer/Boxen auf eingeschleustes JavaScript.

Wir bei Vlarom E-Commerce Agentur begleiten JTL-Shop-Updates für Händler deutschlandweit (Quelle: JTL-Software Partnerverzeichnis). Security-Patches gehören zu den Fällen, bei denen wir unseren Kunden aktiv auf die Schulter tippen. Erfahrungsgemäß sollte so ein Patch noch in derselben Woche eingespielt sein. Nicht weil Panik angebracht wäre, sondern weil ein bekannter, veröffentlichter Exploit ein Fenster öffnet, das jeden Tag größer wird. Wir haben die Release-Ankündigung von JTL und die technische Analyse von Sansec gelesen und rufen betroffene Kunden bereits durch.

Für Entscheidungen braucht man Fakten, keine Panik. Hier sind die technischen Details aus der offiziellen JTL-Release-Ankündigung und der Sansec-Analyse vom 17. Juni 2026, die relevant sind.

Quelle: JTL-Releaseforum, 17.06.2026: „Bei der Sicherheitslücke handelt es sich um eine SSTI (Server-Side Template Injection) im Betreff einer E-Mail.“ Laut der technischen Analyse von Sansec Threat Research lässt sich darüber der Blowfish-Key, die Datenbank-Zugangsdaten sowie SMTP-, Newsletter-, FTP-, Redis-, OAuth- und SFTP-Zugänge auslesen. Ab Shop 5.4.0 ist zusätzlich eine unauthentifizierte Remote Code Execution (RCE) möglich — ein Angreifer braucht keinen Account, um sie auszulösen. Sansec ordnet die Lücke als CVE-2026-54390 mit einem CVSS-Score von 9,8 (kritisch) ein und wies zum Zeitpunkt der Analyse darauf hin, dass bislang keine Hinweise auf eine aktive Ausnutzung vorlägen. Hinweis vom 24.07.2026: Das war der Kenntnisstand am Tag der Patch-Veröffentlichung. Die offizielle JTL-Sicherheitsseite bestätigt inzwischen aktive Ausnutzung seit dem 09.07.2026. Details dazu weiter unten.

Die neun wichtigsten Punkte zur Einordnung:

• →Angriffsvektor: E-Mail-Betreff: Die Lücke steckt nicht im Checkout oder Login, sondern im Template-System für ausgehende E-Mails. Ein Angreifer muss eine E-Mail mit präpariertem Betreff auslösen können, zum Beispiel über ein Kontaktformular, eine Bestellung oder einen anderen Auslöser, der eine Shop-E-Mail triggert. Laut Sansec ist dafür keine Authentifizierung nötig: Der Angriff funktioniert komplett unauthentifiziert, ein Zugang zum Shop-Backend ist nicht erforderlich. Das ist kein theoretisches Szenario.
• →CVE-2026-54390 (CVSS 9,8): betroffen sind Versionen 5.2.0 bis 5.7.1: Shops auf 5.0.0 und 5.1.x sind laut Sansec technisch nicht angreifbar. Die SSTI wurde erst mit Version 5.2.0 (Dezember 2022) eingeführt. Bis Version 5.3.x ist das Risiko auf ein Datenleck begrenzt (Blowfish-Key, Datenbank-Zugangsdaten und weitere gespeicherte Zugänge). Ab 5.4.0 kommt eine unauthentifizierte Remote Code Execution (RCE) hinzu: Der Shop registriert ab dieser Version die Smarty-Modifier `unserialize` und `file_get_contents`, worüber ein Angreifer ohne Login eine Webshell ins Web-Root schreiben und Befehle als Webserver-Nutzer ausführen kann. Sansec vergibt dafür die Kennung CVE-2026-54390 mit einem CVSS-Score von 9,8 (kritisch). JTL stellt zusätzlich vorsorglich Back-Patches für ältere 5.x-Versionen ab 5.0.0 bereit, obwohl 5.0.0 und 5.1.x laut Sansec nicht betroffen sind.
• →Betroffene Datei: SmartyRenderer.php: Der Fehler liegt in `/includes/src/Mail/Renderer/SmartyRenderer.php`. Wer den manuellen Patch einspielt, sieht danach im Backend einen Hinweis auf eine modifizierte Datei. Das ist kein Fehler, sondern zeigt, dass der Patch aktiv ist.
• →JTL Hosting: bereits abgesichert: Shops im JTL Hosting wurden von JTL automatisch und ohne Zutun des Händlers abgesichert. Diese Shops sehen im Backend einen Hinweis auf eine modifizierte Datei. Das ist gewollt, hier ist nichts weiter zu tun.
• →Zeitleiste: von der Einführung bis zum Patch: Die SSTI wurde am 19.12.2022 mit Shop-Version 5.2.0 eingeführt, der RCE-fähige Pfad kam am 29.10.2024 mit Version 5.4.0 hinzu. Sansec meldete die Lücke am 05.06.2026 an JTL, Patch und Veröffentlichung folgten am 17.06.2026, gut zwei Wochen später.
• →Aktive Ausnutzung seit 09.07.2026 bestätigt: Sansec Threat Research schrieb in der ursprünglichen Analyse vom 17.06.2026, dass zu diesem Zeitpunkt keine Hinweise auf eine aktive Ausnutzung vorlagen. Das hat sich geändert. Die offizielle JTL-Sicherheitsseite bestätigt inzwischen, dass Fälle vorliegen, in denen die Lücke tatsächlich ausgenutzt wurde, laut Zeitleiste seit dem 09.07.2026. Beobachtetes Muster: eine über die Datenbank eingeschleuste Content-Box mit JavaScript, die im Checkout einen gefälschten Zahlungsdialog einblendet und Überweisungen bei Vorkasse auf ein fremdes Konto umleitet. JTL rät ausdrücklich, zeitnah aktiv zu werden, auch wenn der Shop nach außen normal funktioniert. Mehr zur Kompromittierungsprüfung weiter unten.
• →Kompromittierungs-Check: kostenloses Plugin im JTL Extension Store: Ergänzend zum Patch bietet der JTL Extension Store das Plugin EcomSec Security Scan – Kompromittierungs-Check für JTL-Shop 5 an, kostenfrei zzgl. gesetzlicher USt. (Artikelnummer exs_ES_1766). Hersteller ist EcomSec, nicht JTL selbst. JTL verlinkt und empfiehlt das Plugin aktiv auf der eigenen Sicherheits-Infoseite. Der Scan arbeitet lokal und rein lesend: Er prüft den Webroot auf bekannte Webshell-Dateinamen, neue oder veränderte PHP-Dateien, manipulierte .htaccess-Dateien und verdächtige Code-Muster nach den YARA-Regeln von NSA und JTL. Dazu prüft er die Shop-Integrität: ob SmartyRenderer.php gepatcht ist, wie es um Admin-Accounts und 2FA-Status steht und ob sich das hinterlegte PayPal-Empfängerkonto (teilmaskiert) verändert hat. Laut Store-Angabe unterstützt das Plugin JTL-Shop 5.2.0 bis 5.7.x, an anderer Stelle derselben Produktseite steht dagegen „ab Version 5.3″. Beide Angaben stehen so im Quelltext, ohne Auflösung. JTL selbst weist darauf hin: Der Scan ist ein Werkzeug zur schnellen Erstprüfung (Triage), kein Ersatz für eine forensische Analyse. Ein unauffälliger Scan ist keine hundertprozentige Entwarnung.
• →Welche Version verwenden: aktuell 1.0.6: Das Plugin erschien am 09.07.2026 und wurde seither fünfmal aktualisiert, zuletzt am 21.07.2026 auf Version 1.0.6. Fünf Updates in zwölf Tagen sind eine schnelle Reaktionskadenz. Nutzer meldeten im JTL-Forum am 10. und 11.07.2026 frühe technische Probleme: einen ungültigen Sicherheits-Token, Scan-Timeouts bei größeren Shops und Fehlalarme bei legitimen Drittsoftware-Dateien. Version 1.0.3 vom 14.07.2026 behebt laut offiziellem Changelog zwei dieser gemeldeten Punkte: Der Scan läuft seither etappenweise statt mit Timeout abzubrechen, und Fehlalarme bei Drittsoftware wurden deutlich reduziert. Verwende deshalb die aktuelle Version im Extension Store, nicht einen älteren, möglicherweise manuell heruntergeladenen Stand.
• →Ein gepatchter Shop ist kein automatisch sauberer Shop: Die offizielle JTL-Sicherheitsseite warnt ausdrücklich: In mehreren bestätigten Fällen wurde die Datei SmartyRenderer.php nach einer Kompromittierung durch die Schadsoftware selbst gepatcht. Angreifer schließen damit die Lücke, um andere Angreifer auszuschließen. Ein gepatchter Shop ist deshalb kein Beleg dafür, dass er sauber ist. JTLs eigene Formulierung dazu: Erst patchen, dann prüfen. Konkret betrifft das die eingeschleusten Content-Boxen mit JavaScript aus dem vorherigen Punkt. Dieser Code sitzt in der Datenbank und bleibt aktiv, auch wenn befallene Dateien längst entfernt sind. JTL empfiehlt, im Backend unter Standardelemente > Footer/Boxen gezielt nach Elementen mit eingebettetem Script-Tag zu suchen, insbesondere mit dem auffälligen Titel-Präfix sys_box_.

So spielst du den JTL Shop Sicherheitspatch schnell und sicher ein — und prüfst danach, ob dein Shop bereits kompromittiert wurde.

Melde dich im JTL Shop Backend unter `/admin` an. Im Dashboard-Widget ‚Informationen‘ steht deine aktuelle Version. Alternativ: im Informations-Widget unter Administration > System. Notiere die genaue Versionsnummer — das bestimmt welchen Patch du brauchst.

Auf 5.7.1? Download für 5.7.2 im offiziellen JTL Releaseforum unter forum.jtl-software.de. Auf 5.6.1? Download für 5.6.2. Auf 5.5.3? Download für 5.5.4. Ältere Versionen (5.0.0–5.7.0, die keine direkte Patch-Version bekommen): manueller Patch über den separaten Patch-Download im Forum. Nur die offiziellen JTL-Quellen verwenden — kein Drittanbieter-Download.

Vor jedem Update: Backup der Datenbank (SQL-Dump) und aller Shop-Dateien. Ohne Backup kein Update — das gilt für Sicherheitspatches genauso wie für reguläre Updates. Im Hosting-Panel des Anbieters gibt es meist eine Einzel-Backup-Funktion, alternativ per SSH und mysqldump.

Das Update läuft über den regulären Update-Assistenten im JTL Shop Backend unter Administration > System > Aktualisieren. Das Vorgehen ist identisch mit einem normalen Shop-Update: ZIP hochladen, Installationsroutine durchlaufen, Datenbank-Update ausführen. Bei Version 5.7.1 auf 5.7.2 handelt es sich um einen reinen Sicherheitspatch, keine umfangreiche Feature-Änderung.

Nach dem Update: Bestellung testweise durchlaufen, E-Mail-Versand prüfen (Bestellbestätigung, Versandbestätigung), Connector-Verbindung überprüfen. Backend unter Administration > System > Diagnose aufrufen — dort werden Dateikonsistenz-Probleme angezeigt. Wenn der manuelle Patch eingespielt wurde, zeigt das Backend einen Hinweis auf eine modifizierte Datei bei SmartyRenderer.php. Das ist normal und korrekt.

Spiele zusätzlich zum Patch das kostenlose Plugin EcomSec Security Scan – Kompromittierungs-Check für JTL-Shop 5 aus dem JTL Extension Store ein (aktuell Version 1.0.6). Der Scan läuft im Backend, arbeitet rein lesend und braucht keinen SSH-Zugriff. Bei einem kritischen Befund gilt laut JTL: kein Ersatz für eine forensische Analyse, professionell nachprüfen lassen. Ein unauffälliger Scan ist keine hundertprozentige Entwarnung.

Öffne im Backend Standardelemente > Footer/Boxen und suche gezielt nach Elementen mit einem Script-Tag, das du nicht selbst eingebunden hast, oder mit dem auffälligen Titel-Präfix sys_box_. Diese Prüfung ist unabhängig vom Dateisystem-Scan nötig, weil der betroffene Code laut JTL über die Datenbank eingeschleust wird und auch nach dem Entfernen befallener Dateien aktiv bleibt.

Aktualisiert am 24. Juli 2026: Die aktive Ausnutzung der Lücke ist seit dem 09.07.2026 bestätigt (Skimming über eingeschleustes JavaScript im Checkout, Quelle: offizielle JTL-Sicherheitsseite). Wir haben unsere ursprüngliche Einschätzung entsprechend korrigiert und ergänzt, wie du deinen Shop zusätzlich zum Patch mit dem kostenlosen EcomSec Security Scan und einer manuellen Boxen-Prüfung auf Kompromittierung untersuchst. Zuvor aktualisiert am 7. Juli 2026: Wir haben diesen Beitrag mit den offiziellen Quellen (JTL-Releaseforum, Sansec Threat Research und der Schwachstellen-Kennung CVE-2026-54390) überarbeitet und die betroffenen Versionen auf 5.2.0 bis 5.7.1 präzisiert.