In JTL-Shop wurde eine schwerwiegende Sicherheitslücke bekannt. Betroffen sind alle selbst gehosteten Versionen ab 5.0.0. Je nach Version reicht die Auswirkung vom Auslesen sensibler Zugangsdaten bis zur vollständigen Übernahme des Servers. Wenn Sie Ihren JTL-Shop selbst hosten, sollten Sie jetzt handeln – ruhig, aber zügig. Dieser Artikel zeigt Ihnen, wie Sie prüfen, ob Sie betroffen sind, und wie Sie sicher patchen.
Das Wichtigste in Kürze
- Was: Eine sogenannte Server-Side Template Injection (SSTI) über den Betreff einer E-Mail.
- Wer ist betroffen: Alle selbst gehosteten JTL-Shops ab Version 5.0.0.
- Wie schlimm: Bis 5.3.x Datenleck (Blowfish-Key + Datenbankpasswort). Ab 5.4.0 zusätzlich Remote Code Execution (RCE).
- JTL-Hosting-Kunden: Bereits automatisch abgesichert – kein Handlungsbedarf.
- Was tun: Version prüfen → Backup → über den offiziellen Update-Assistenten patchen → testen.
- Aktive Angriffe: Laut JTL bisher keine Hinweise auf aktive Ausnutzung.
Was ist passiert?
Das Sicherheitsteam Sansec Threat Research hat gemeinsam mit JTL eine Schwachstelle in JTL-Shop entdeckt. Es handelt sich um eine Server-Side Template Injection (SSTI). Vereinfacht gesagt: Ein Angreifer kann über einen präparierten E-Mail-Betreff eigene Befehle einschleusen, die der Server anschließend ausführt.
Der Hintergrund: JTL-Shop nutzt die Smarty Template Engine, um E-Mail-Vorlagen zu erzeugen. Genau an dieser Stelle setzt die Lücke an. Ein manipulierter Betreff wird nicht einfach als Text behandelt, sondern als Smarty-Anweisung interpretiert und ausgeführt. Verantwortlich dafür ist die Datei /includes/src/Mail/Renderer/SmartyRenderer.php.
Laut JTL gibt es bislang keine Hinweise darauf, dass die Lücke aktiv ausgenutzt wird. Das ist eine gute Nachricht – aber kein Grund, das Update aufzuschieben. Generell gilt in der IT-Sicherheit: Sobald technische Details einer Lücke öffentlich werden, steigt das Ausnutzungsrisiko erfahrungsgemäß deutlich.
Wie gefährlich ist die Lücke? Die entscheidende Grenze liegt bei 5.4.0
Wie stark Sie die Lücke trifft, hängt an Ihrer JTL-Shop-Version. Die zentrale Trennlinie verläuft bei Version 5.4.0:
Version 5.0.0 bis 5.3.x – Datenleck
Hier kann ein Angreifer den Blowfish-Key und das Datenbankpasswort auslesen. Der Blowfish-Key ist der Schlüssel, mit dem JTL sensible Daten in der Datenbank verschlüsselt – je nach Konfiguration gehören dazu auch Passwort-Hashes. Wer diesen Schlüssel und das Datenbankpasswort in die Hände bekommt, hat Zugriff auf hochsensible Daten Ihres Shops.
Ab Version 5.4.0 – zusätzlich Remote Code Execution (RCE)
Ab 5.4.0 kommt die kritischste Stufe hinzu: Remote Code Execution. Das bedeutet, ein Angreifer kann beliebigen Code direkt auf Ihrem Server ausführen – bis hin zur vollständigen Übernahme des Systems. Wenn Ihr Shop auf 5.4.0 oder neuer läuft und selbst gehostet ist, hat dieses Update höchste Priorität.
Bin ich überhaupt betroffen?
Nur selbst gehostete JTL-Shops sind betroffen. Zwei Fälle:
- Sie nutzen JTL-Hosting: Dann sind Sie bereits automatisch abgesichert. Es besteht kein Handlungsbedarf.
- Sie hosten Ihren Shop selbst (eigener Server, eigenes Webhosting, Cloud): Dann müssen Sie selbst aktiv werden – siehe Versions- und Patch-Tabelle unten.
Welche Version braucht welchen Patch?
JTL stellt die Behebung in drei parallelen Update-Linien bereit – nicht nur in einer. Prüfen Sie zuerst Ihre aktuelle Version (siehe Anleitung weiter unten) und wählen Sie dann die passende Zeile:
| Ihre aktuelle Version | Ziel-/Patch-Version |
|---|---|
| 5.7.1 | 5.7.2 |
| 5.6.1 | 5.6.2 |
| 5.5.3 | 5.5.4 |
| Ältere Versionen (5.0.0 bis 5.7.0) | Separater manueller Patch bzw. Versions-Update |
Wichtig: Laden Sie Patches und Updates ausschließlich aus offiziellen JTL-Quellen. Keine Downloads von Drittanbietern – gerade bei einem Sicherheitsthema ist das ein zusätzliches Einfallstor.
Schritt für Schritt: So sichern Sie Ihren JTL-Shop ab
1. Aktuelle Version prüfen
Melden Sie sich im Backend Ihres Shops an (/admin). Ihre Version finden Sie im Dashboard-Widget „Informationen“ oder unter Administration > System.
2. Backup erstellen (Datenbank + Dateien)
Vor jedem Update gilt: erst sichern. Legen Sie ein vollständiges Backup Ihrer Datenbank und Ihrer Dateien an. Falls beim Update etwas schiefgeht, können Sie so jederzeit zurück.
3. Patch über den Update-Assistenten einspielen
Führen Sie das Update über den offiziellen Weg durch: Administration > System > Aktualisieren. Wählen Sie die zu Ihrer Version passende Patch-Version aus der Tabelle oben.
4. Nach dem Update testen
Prüfen Sie anschließend, ob Ihr Shop sauber läuft:
- Eine Testbestellung durchführen
- Den E-Mail-Versand kontrollieren (Bestellbestätigungen etc.)
- Die Dateikonsistenz unter Diagnose prüfen
Nach dem manuellen Patch: Hinweis zu SmartyRenderer.php ist normal
Wenn Sie den Patch manuell eingespielt haben, zeigt Ihr Backend möglicherweise einen Hinweis auf eine modifizierte Datei SmartyRenderer.php an. Das ist kein Fehler, sondern das erwartete Verhalten: Der Hinweis zeigt genau, dass der Patch aktiv ist und die betroffene Datei angepasst wurde.
FAQ: JTL Shop Sicherheitslücke
Betroffen sind alle selbst gehosteten JTL-Shops ab Version 5.0.0. Wenn Sie JTL-Hosting nutzen, sind Sie bereits automatisch abgesichert und müssen nichts unternehmen.
Bei den Versionen 5.0.0 bis 5.3.x können der Blowfish-Key und das Datenbankpasswort ausgelesen werden (Datenleck). Ab Version 5.4.0 kommt zusätzlich Remote Code Execution hinzu – ein Angreifer kann dann beliebigen Code auf dem Server ausführen.
Laut JTL gibt es bislang keine Hinweise auf eine aktive Ausnutzung. Das ist jedoch kein Grund, das Update aufzuschieben.
Ausschließlich über offizielle JTL-Quellen und den integrierten Update-Assistenten unter Administration > System > Aktualisieren. Verwenden Sie keine Downloads von Drittanbietern.
Nein. Ein Hinweis auf die modifizierte Datei SmartyRenderer.php ist nach einem manuellen Patch normal und zeigt, dass die Absicherung aktiv ist.