Shopware Security Update August 2026

Zehn Lücken auf einmal, drei davon kritisch

Shopware hat am 25. August 2026 die Versionen 6.7.13.1 und 6.6.10.23 veröffentlicht. Beide sind reine Sicherheits-Releases: Sie schließen zehn Schwachstellen, die Shopware zeitgleich als GitHub-Advisories dokumentiert hat. Drei davon sind als kritisch eingestuft, zwei als hoch. Das ist eines der umfangreichsten Sicherheitsupdates seit langem, und es betrifft praktisch jeden Shop auf Shopware 6.

Die kritischen drei

Die schwerste Lücke steckt im App-System: Skripte aus installierten Apps laufen in einer Sandbox, also einer abgeschotteten Umgebung, die den Zugriff auf das restliche System verhindern soll. Diese Abschottung ließ sich umgehen, sodass eine App beliebige PHP-Funktionen und Betriebssystembefehle ausführen konnte. Shopware bewertet das mit einem CVSS-Score von 9,6 von 10, betroffen sind alle Versionen seit 6.5.4.0.

Die zweite kritische Lücke erlaubte die Übernahme von Admin-Konten über den Passwort-Reset. Der Angreifer manipuliert dabei den Host-Header, also die Angabe im Request, unter welcher Domain der Shop angesprochen wird. Der Link in der Passwort-vergessen-Mail zeigt dann auf eine fremde Domain, und wer ihn anklickt, liefert sein Reset-Token beim Angreifer ab.

Die dritte betrifft App-Manifeste: Über Feldnamen von Custom Entities, also von Apps definierten eigenen Datenstrukturen, ließen sich Datenbankbefehle einschleusen (SQL-Injection). Da diese Namen bis in die Tabellendefinition durchgereicht wurden, reichte der Schaden bis zur Struktur der Datenbank selbst.

Alle zehn Lücken im Überblick

Besondere Aufmerksamkeit verdient bei den hoch eingestuften Lücken die SQL-Injection in der Store API, dem Schnittstellen-Zugang der Storefront: Sie war ohne Anmeldung ausnutzbar, ein Angreifer brauchte also weder ein Kundenkonto noch Admin-Zugang. Hier die vollständige Liste, jeweils mit Link auf das offizielle Advisory:

Kritisch

• Sandbox-Ausbruch im App-Scripting: Skripte installierter Apps konnten beliebige PHP-Funktionen und Betriebssystembefehle ausführen (CVSS 9,6)
• Admin-Übernahme über den Passwort-Reset: Manipulierter Host-Header lenkt den Reset-Link auf eine fremde Domain
• SQL/DDL-Injection über Custom-Entity-Feldnamen: Eingeschleuste Datenbankbefehle aus App-Manifesten, bis in die Tabellendefinition

Hoch

• SQL-Injection über Aggregationsnamen der Store API: Ausnutzbar ohne jede Anmeldung
• Path Traversal über beschreibbare Dateiendung im Medienbereich: Dateien landen außerhalb des vorgesehenen Verzeichnisses, im schlimmsten Fall als ausführbarer Code

Mittel

• Rechteausweitung über die Rollenverwaltung: ACL-Rollen ließen sich per Mass Assignment setzen, also durch ungeprüfte Übernahme von Feldern aus dem Request
• Offenlegung unveröffentlichter Produktbewertungen: Noch nicht freigegebene Bewertungen waren ohne Anmeldung abrufbar
• SSRF beim Medien-Import per DNS-Rebinding: Der Server ließ sich zu Anfragen an interne Netzwerkdienste verleiten (Server-Side Request Forgery)

Niedrig

• SSRF über App-System-Anfragen: Webhooks sowie Payment-, Tax- und Checkout-Gateways umgingen den URL-Schutzfilter (CVSS 3,1)
• Fehlendes Rate-Limiting beim Gast-Dokumentendownload: Die Postleitzahl-Abfrage vor Rechnungen und Lieferscheinen ließ sich durch beliebig viele Versuche erraten (CVSS 3,7)

Einzeln sind die mittleren und niedrigen Befunde weniger dramatisch, in Summe sind sie ein weiterer Grund, das Update nicht aufzuschieben.

Was jetzt zu tun ist

Die gute Nachricht: Beide Releases sind Patch-Versionen innerhalb des jeweiligen Zweigs. Wer Shopware 6.7 nutzt, aktualisiert auf 6.7.13.1, wer Shopware 6.6 nutzt, auf 6.6.10.23. Solche Updates ändern keine Schnittstellen und keine Template-Strukturen, das Risiko für Plugins und Themes ist entsprechend gering. Trotzdem gilt wie immer: vorher ein vollständiges Backup von Datenbank und Dateien, danach die Caches leeren und die wichtigsten Abläufe im Shop einmal durchklicken.

Wer noch auf 6.5 oder älter unterwegs ist, hat ein größeres Thema: Für diese Zweige nennen die Advisories keine gepatchte Version. Der belastbare Weg aus dieser Lage ist die Migration auf einen aktuellen Versionszweig, die angesichts einer aus der Ferne ausnutzbaren Lücke im App-System nicht mehr auf die lange Bank gehört.

Warum solche Updates oft liegen bleiben

In der Praxis scheitern Sicherheitsupdates selten am Update selbst, sondern an der Zuständigkeit. Der Shop läuft, niemand liest Security-Mailinglisten, und die Agentur von damals ist nicht mehr an Bord. Genau für diese Situation gibt es auf der Shopware-Seite Wartungspakete, zu denen ein regelmäßiger Update-Check gehört: Neue Shopware- und Plugin-Versionen werden erkannt, bewertet und eingeplant, bevor eine Lücke wie die aktuelle zum Vorfall wird.

Unabhängig davon lohnt heute ein kurzer Blick in die eigene Installation: Welche Version läuft, welche Apps sind installiert, wann gab es das letzte Backup? Die Antwort auf diese drei Fragen entscheidet, wie entspannt sich diese Woche anfühlt.