JTL-Connector-Lücke in WooCommerce: Warum zeigt WordPress kein Update an?

Der JTL-Connector verbindet die Warenwirtschaft JTL-Wawi mit einem WooCommerce-Shop. Er gleicht Artikel, Bilder und Lagerbestände automatisch ab. Viele kleine Händler nutzen diese Kombination, damit sie Bestände nicht doppelt pflegen müssen.

Im Plugin stecken zwei Sicherheitslücken. Entdeckt hat sie der Sicherheitsforscher Supakiad S. bereits am 18. August 2026, öffentlich wurden sie am 13. Oktober. Die schwerere Lücke (CVE-2026-87855) erlaubt es, ohne Anmeldung beliebige Dateien hochzuladen. Die Sicherheitsfirma Wordfence bewertet sie mit 9,8 von 10 Punkten, also als „kritisch“. Die zweite Lücke (CVE-2026-78193) ist eine sogenannte SQL-Injection mit 7,5 Punkten. Dabei schleust ein Angreifer eigene Befehle in die Datenbankabfrage ein und kann so Inhalte der Datenbank auslesen, etwa Kundendaten.

Die Ursache ist laut Dr. Web erstaunlich simpel: Die Schnittstelle des Connectors erwartet ein Passwort-Token. Bis Version 2.4.3 wurde zwar ein fehlendes Token abgelehnt, ein leeres aber als gültige Anmeldung akzeptiert. Stell dir eine Ladentür vor, die nur zubleibt, wenn gar kein Schlüssel im Schloss steckt, aber mit einem leeren Schlüsselbund aufgeht.

Normalerweise meldet WordPress neue Plugin-Versionen automatisch unter „Plugins“. Hier nicht. Die Plugin-Seite auf wordpress.org trägt seit dem 7. Oktober 2026 den Hinweis, das Plugin sei geschlossen, und zwar vorübergehend bis zu einer vollständigen Prüfung. Für geschlossene Plugins meldet die Update-Prüfung von WordPress keine neuen Versionen.

Die reparierte Version 2.4.5 liegt aber seit dem 15. Oktober im Verzeichnis von wordpress.org. Im Änderungsprotokoll stehen beide Sicherheitskorrekturen. Wer nur auf den Update-Hinweis im Dashboard wartet, wartet also vergeblich und bleibt angreifbar. Auch automatische Updates helfen hier nicht.

Über die Upload-Lücke kann ein Angreifer eine PHP-Datei in den Upload-Ordner von WordPress legen. PHP ist die Programmiersprache, in der WordPress läuft. Eine solche Datei ist im Grunde ein kleines Programm, das der Angreifer danach jederzeit auf deinem Server starten kann. Damit kann er zum Beispiel Schadcode in den Shop einbauen, Zahlungsseiten manipulieren oder sich dauerhaft einen Zugang offenhalten.

Über die Datenbank-Lücke lassen sich gespeicherte Daten Stück für Stück auslesen. In einem Shop sind das oft Namen, Adressen und Bestellungen deiner Kunden.

Laut Dr. Web sind bisher keine Angriffe bestätigt. Die US-Behörde CISA sah am 14. Oktober keine Anzeichen dafür, schätzt den Angriff aber als automatisierbar ein. Das heißt: Angreifer können sehr viele Shops gleichzeitig abklappern. Warte deshalb nicht ab.

• ✓1. Version prüfen: Melde dich in WordPress an und öffne „Plugins“ → „Installierte Plugins“. Neben „JTL-Connector for WooCommerce“ steht die Versionsnummer. Alles unter 2.4.5 ist zu alt.
• ✓2. PHP-Version klären: Version 2.4.5 braucht PHP 8.4. Frag deinen Hoster oder schau im Kundenbereich nach, welche PHP-Version dein Shop nutzt, und lass sie bei Bedarf umstellen. Ältere Plugins oder Themes vertragen den Wechsel nicht immer, deshalb vorher testen.
• ✓3. Backup anlegen: Sichere Dateien und Datenbank, zum Beispiel über den Kundenbereich deines Hosters oder ein Backup-Plugin.
• ✓4. ZIP-Datei laden: Lade Version 2.4.5 direkt von wordpress.org herunter: downloads.wordpress.org/plugin/woo-jtl-connector.2.4.5.zip
• ✓5. Hochladen: Gehe in WordPress auf „Plugins“ → „Neues Plugin hinzufügen“ → „Plugin hochladen“, wähle die ZIP-Datei und bestätige, dass die vorhandene Version ersetzt werden soll.
• ✓6. Abgleich testen: Starte in JTL-Wawi einen Abgleich und prüfe, ob Artikel, Bilder und Bestände korrekt im Shop ankommen. Am besten zusammen mit dem Dienstleister, der die Anbindung eingerichtet hat.
• ✓7. Neues Connector-Passwort setzen: Vergib in den Plugin-Einstellungen ein neues Passwort und trage es auch in JTL-Wawi ein.

Kannst du nicht sofort aktualisieren, etwa weil dein Hoster noch kein PHP 8.4 anbietet? Dann deaktiviere das Plugin vorübergehend. Damit ist die Schnittstelle zu. Der Haken: Solange es aus ist, gleicht JTL-Wawi keine Bestände und Bestellungen mit dem Shop ab. Plane das also für eine ruhige Zeit und pflege wichtige Änderungen notfalls kurz von Hand.

Nach dem Update solltest du kurz nach Spuren suchen. Das geht auch ohne tiefes Technikwissen:

• ✓Upload-Ordner prüfen: Öffne per FTP oder Dateimanager des Hosters den Ordner wp-content/uploads. Dort gehören Bilder und PDFs hin, aber keine Dateien mit der Endung .php. Findest du welche, ist das ein Warnsignal.
• ✓Administratoren prüfen: Unter „Benutzer“ → „Alle Benutzer“ nach der Rolle „Administrator“ filtern. Kennst du ein Konto nicht, entferne es und ändere dein eigenes Passwort.
• ✓Shop beobachten: Seltsame Weiterleitungen, veränderte Zahlungsseiten oder Beschwerden von Kunden über Warnmeldungen im Browser sind ernste Hinweise.

Findest du Hinweise, dass jemand auf Kundendaten zugegriffen hat, prüfe die Meldepflicht nach Artikel 33 DSGVO. Eine Meldung an die Datenschutzbehörde muss dann in der Regel innerhalb von 72 Stunden erfolgen. Dieser Hinweis ersetzt keine Rechtsberatung.

Dieser Fall zeigt eine Lücke im üblichen Sicherheitsdenken: Viele verlassen sich auf den Update-Hinweis im Dashboard. Wird ein Plugin auf wordpress.org gesperrt, bleibt dieser Hinweis aus, auch wenn es längst eine reparierte Version gibt. Eine regelmäßige Wartung sollte deshalb nicht nur auf Update-Knöpfe achten, sondern auch Sicherheitsmeldungen zu den eingesetzten Plugins verfolgen.

Gerade Schnittstellen zur Warenwirtschaft sind heikel, weil sie von außen erreichbar sein müssen. Wenn du unsicher bist, ob dein Shop sauber ist, oder Hilfe beim PHP-Wechsel und Update brauchst, schauen wir gern drauf.