Kritische Sicherheitslücke im JTL-Connector für WooCommerce: Sofortiger Handlungsbedarf (CVE-2026-87855)

Was ist passiert?

Am 14. Oktober 2026 wurde über die National Vulnerability Database (NVD) die Schwachstelle CVE-2026-87855 mit einem CVSS-Score von 9.8 (Kritisch) veröffentlicht. Sie betrifft das WordPress-Plugin JTL-Connector for WooCommerce in allen Versionen bis einschließlich 2.4.3.

Die Lücke entsteht durch das Zusammenspiel zweier Schwachpunkte im Quellcode:

• Die Funktion startSession() akzeptiert einen leeren jtlauth-Parameter als gültige Authentifizierung – ein Angreifer muss sich also faktisch überhaupt nicht ausweisen.
• Die Funktion saveImage() bzw. handleImagePush() prüft den Typ der hochgeladenen Datei nicht ausreichend, sodass statt Bilddateien auch ausführbare Skripte (z. B. PHP-Webshells) auf den Server geladen werden können.

Weitere betroffene Code-Stellen sind in der Application.php unter Zeile 885 und Zeile 955 dokumentiert.

Wer ist betroffen?

Betroffen sind alle Betreiber eines WordPress-Shops mit WooCommerce, die zur Anbindung an JTL-Wawi das Plugin JTL-Connector for WooCommerce in einer Version ≤ 2.4.3 einsetzen. Da der Connector typischerweise mit erhöhten Rechten auf Produkt- und Bestelldaten zugreift, ist das Angriffspotenzial besonders hoch.

Ein erfolgreicher Angriff gibt dem Angreifer die Möglichkeit, beliebigen Code auf dem Webserver auszuführen – damit sind nicht nur Shop-Daten, sondern potenziell der gesamte Server und alle darauf befindlichen Systeme gefährdet.

Wie gefährlich ist die Lücke?

Mit einem CVSS-Score von 9.8 von 10 ist diese Schwachstelle als kritisch eingestuft. Besonders besorgniserregend:

• Keine Authentifizierung erforderlich – jeder externe Angreifer kann die Lücke ausnutzen.
• Remote Code Execution (RCE) – Schadcode kann direkt auf dem Server ausgeführt werden.
• Vollständige Kompromittierung des Shops, der Kundendaten und ggf. der gesamten Serverinfrastruktur möglich.
• Die Schwachstelle ist öffentlich dokumentiert und der betroffene Code öffentlich einsehbar, was das Risiko aktiver Ausnutzung erheblich erhöht.

Was ist jetzt zu tun?

Handeln Sie unverzüglich. Folgende Schritte sind empfohlen:

• Plugin aktualisieren: Prüfen Sie, ob ein Patch (Version > 2.4.3) im WordPress-Plugin-Verzeichnis oder über den JTL-Support verfügbar ist, und spielen Sie diesen sofort ein.
• Connector vorübergehend deaktivieren: Falls noch kein Patch verfügbar ist oder Sie den Update-Status nicht sicher einschätzen können, deaktivieren Sie das Plugin bis zur Klärung.
• Webserver-Logs prüfen: Untersuchen Sie Ihre Server-Logs auf verdächtige POST-Requests an den Connector-Endpunkt sowie auf unbekannte Dateien im Upload-Verzeichnis.
• Upload-Verzeichnisse kontrollieren: Prüfen Sie alle Upload-Ordner auf unbekannte oder ausführbare Dateien (z. B. .php-Dateien in Medienordnern).
• Passwörter und API-Schlüssel ändern: Ändern Sie vorsorglich alle Zugangsdaten zu JTL-Wawi, WooCommerce und der Datenbank.
• Web Application Firewall (WAF): Erwägen Sie den Einsatz einer WAF, um Angriffe auf Plugin-Endpunkte kurzfristig zu blockieren.

Professionelle Unterstützung durch monsi.it

Sie sind sich nicht sicher, ob Ihr Shop betroffen ist, oder benötigen Hilfe bei der Absicherung Ihrer JTL-Wawi-Anbindung? Das Team von monsi.it unterstützt Sie bei der Bewertung der Lücke, der sicheren Aktualisierung des Connectors und der Überprüfung Ihrer gesamten Shop-Infrastruktur auf Auffälligkeiten. Nehmen Sie jetzt Kontakt auf – wir helfen Ihnen schnell und unkompliziert.

Titelbild mit KI erstellt.