Shopware 6: zwei kritische Sicherheitsupdates in drei Wochen

September 18, 2026 • Florian De Felice • Sicherheit und Wartung

Lesedauer: 4 Minuten

Ein Einkaufswagen vor einem Kalenderblatt, auf dem zwei Tage mit Warnsymbolen markiert sind.

Innerhalb von gut drei Wochen hat Shopware zweimal Sicherheitsupdates für Shopware 6 veröffentlicht: am 25. August und am 16. September 2026. Zusammen schließen sie 15 Lücken, vier davon stuft Shopware selbst als kritisch ein. Wer einen selbst betriebenen Shopware-Shop hat, sollte deshalb jetzt prüfen, welche Version tatsächlich installiert ist. Dieser Beitrag fasst zusammen, was die beiden Updates schließen und was Sie jetzt tun sollten.

August: zehn Lücken, drei davon kritisch

Mit den Versionen 6.7.13.1 und 6.6.10.23 schloss Shopware am 25. August zehn Lücken. Die schwerste mit dem CVSS-Wert 9,6 betrifft die App Scripts: Laut Shopware erlaubte sie, aus der vorgesehenen Schutzumgebung auszubrechen und beliebigen PHP-Code sowie Betriebssystembefehle auszuführen. Dazu kamen die Übernahme von Administratorkonten über manipulierte Links zum Zurücksetzen des Passworts (9,3) und eine SQL-Injection über die Feldnamen eigener Datenobjekte (9,1).

Besonders aufmerksam machte die Sicherheitsfirma Sansec auf eine weitere Lücke in der Store API, also der Schnittstelle, über die der Shop Daten an das Frontend liefert. Laut Sansec konnten Angreifer darüber „take over an administrator account and run code on the server“. Voraussetzung ist ein gültiger Sales-Channel-Schlüssel, den Headless-Shops – also Shops, bei denen Shopsystem und Darstellung getrennt laufen – ihren Besuchern im normalen Betrieb ohnehin mitliefern. Betroffen waren laut Sansec alle Versionen von 6.7.0.0 bis 6.7.13.0 sowie ältere Versionen vor 6.6.10.23.

Die übrigen Lücken des August-Updates im Überblick:

Codeausführung über manipulierte Dateiendungen in der Medienverwaltung (8,0)
Rechteausweitung über die Zuweisung von Rollen (6,5)
Serverseitige Anfragen über den Medienimport, die Schutzmechanismen umgehen (6,3)
Einsehbare, noch nicht freigegebene Produktbewertungen ohne Anmeldung (5,3)
Fehlende Begrenzung von Anmeldeversuchen bei Gast-Dokumenten (3,7)
Serverseitige Anfragen über das App-System (3,1)

Balkendiagramm: Sicherheitsupdate vom 25. August mit 10 Lücken, davon 3 kritisch, 2 hoch, 3 mittel und 2 niedrig; Sicherheitsupdate vom 16. September mit 5 Lücken, davon 1 kritisch, 2 hoch und 2 mittel.

Geschlossene Sicherheitslücken je Sicherheitsupdate, nach Shopwares eigener Einstufung. Quelle: Shopware-Sicherheitshinweise auf GitHub, Release Notes 6.7.13.1 und 6.7.14.1.

September: fünf weitere Lücken, eine davon kritisch

Kaum drei Wochen später folgten am 16. September die Versionen 6.7.14.1 und 6.6.10.25. Diesmal schließt Shopware fünf Lücken. Kritisch mit dem Wert 9,6 ist eine Lücke, über die Webhook-Berechtigungen die Zugriffsregeln umgehen und sensible Daten preisgeben konnten. Hinzu kommen eine SQL-Injection in der Store API, die nur Shops mit einer PHP-Version unter 8.4 betrifft (8,6), sowie eine Rechteausweitung über Profiländerungen (8,1). Weniger schwer wiegen eine Rechteausweitung beim Kopieren von Datensätzen (6,5) und eine Lücke, mit der sich die doppelte Bestätigung der Newsletter-Anmeldung umgehen ließ (5,3).

Tückisch ist dabei der Zeitplan: Am 9. September erschien mit 6.7.14.0 ein reguläres Update. Wer es zügig eingespielt hat, war damit eine Woche später schon wieder auf einem verwundbaren Stand – denn erst 6.7.14.1 schließt die neuen Lücken.

Entsprechend deutlich sind die Release Notes: „Please update as soon as possible!“ In einer E-Mail an Shopware-Entwickler zeigte sich Shopware noch direkter: „Alle Administratoren von selbst gehosteten Shops müssen umgehend handeln. Die durch dieses Sicherheitsupdate geschlossenen Lücken stellen ein akutes Risiko für deinen Shop dar!“

Was Shopware empfiehlt

Für Shops in der Shopware-Cloud (SaaS) ist laut Shopware nichts zu tun, die Updates sind dort bereits eingespielt. Betreiber selbst gehosteter Shops sollten dagegen auf die aktuelle Version aktualisieren. Ist das kurzfristig nicht möglich, empfiehlt Shopware das Security Plugin: Es enthält die Fehlerbehebungen ebenfalls, und zwar für alle unterstützten Versionen ab 6.5. Außerdem rät Shopware, vor jedem Update eine Sicherung anzulegen.

Wichtig für ältere Shops: Neben der aktuellen 6.7-Linie versorgt Shopware auch die 6.6-Linie weiter mit Sicherheitsupdates. Beide Updates gab es deshalb jeweils parallel, im August als 6.6.10.23 und im September als 6.6.10.25.

Drei Wege zum sicheren Shop: ein Update-Pfeil, ein Schutzschild als Plugin und eine Sicherungskopie vor dem Update.

Was das für Sie bedeutet

Version prüfen: Sicher sind Shops ab Version 6.7.14.1 beziehungsweise 6.6.10.25. Wer im August aktualisiert hat, braucht trotzdem das zweite Update.
Security Plugin als Überbrückung: Lässt sich das Update nicht sofort einspielen, schließt das Plugin die Lücken vorübergehend – ersetzt aber nicht das reguläre Update.
PHP-Version im Blick behalten: Eine der September-Lücken betrifft nur Server mit PHP unter 8.4. Auch die Serverumgebung gehört also zur Sicherheit des Shops.
Store API vorübergehend einschränken: Wo das Update nicht sofort möglich ist, rät Sansec, den Zugriff auf die Store API zu begrenzen.
Shop durchsuchen: Sansec empfiehlt außerdem, den Shop auf verwundbaren Code, schädliche Plugins und veränderte PHP-Dateien zu durchsuchen.
Nach dem Update nachsehen: Sansec empfiehlt, verdächtige Administratorkonten zu entfernen, Passwörter zurückzusetzen, unbekannte Zugangstokens zu widerrufen und alle Plugins zu überprüfen, die Ihr Team nicht selbst eingespielt hat.

Passende Leistung

Für Shopware-Shops stellen wir den Update-Service im Bereich „Tailored“ individuell zusammen: Wir prüfen Ihr System und erstellen ein Angebot, das zu Ihrem Shop passt.

„Update-Service“ ansehen

Quellen

Wie unsere Beiträge entstehen

Beim Recherchieren, Gliedern und Formulieren unserer Blogbeiträge nutzen wir KI-Werkzeuge als Unterstützung. Inhalt, Quellen und Aussagen prüfen wir selbst, bevor ein Beitrag erscheint – die redaktionelle Verantwortung liegt bei uns.