JTL Shop 5 Sicherheitslücke: SSTI-Schwachstelle betrifft alle Versionen ab 5.0.0 — jetzt patchen
JTL hat eine kritische Server-Side-Template-Injection-Schwachstelle offengelegt, die gemeinsam mit dem Sansec Threat Research Team entdeckt wurde. Patches sind verfügbar – hier ist alles, was Sie wissen und tun müssen.
JTL hat eine kritische Sicherheitslücke in JTL Shop 5 bekannt gegeben, die vom Sansec Threat Research Team in Zusammenarbeit mit JTL im Rahmen ihres laufenden Sicherheitsprogramms entdeckt wurde. Die Schwachstelle liegt im E-Mail-Vorlagensystem des Shops und betrifft jede Version ab 5.0.0. Patches sind bereits für alle aktiv gepflegten Versionen verfügbar – wenn Sie 5.7.1 nutzen, bedeutet das ein Update auf 5.7.2. Shops im JTL-Hosting wurden bereits automatisch geschützt und erfordern keine Maßnahme.
Betreiben Sie einen selbst gehosteten JTL Shop und fragen sich, ob Sie betroffen sind und was als Nächstes zu tun ist? Dieser Artikel behandelt den technischen Hintergrund, wer betroffen ist, welche Patches JTL veröffentlicht hat und das korrekte Update-Vorgehen – basierend auf JTLs offizieller Sicherheitsmeldung und unserer eigenen Erfahrung bei der Betreuung von JTL-Händlern.
Auf einen Blick
- ✓ Was ist passiert: JTL hat eine kritische Server-Side-Template-Injection-(SSTI)-Schwachstelle in JTL Shop 5 offengelegt. Alle Versionen ab 5.0.0 sind betroffen. Die Schwachstelle befindet sich in
/includes/src/Mail/Renderer/SmartyRenderer.php. Laut JTL gibt es derzeit keine Hinweise auf eine aktive Ausnutzung. - ✓ Warum es wichtig ist: Die Schwachstelle ermöglicht es einem Angreifer, den Blowfish-Schlüssel und das Datenbank-Passwort des Shops auszulesen. Ab Version 5.4.0 ist zudem Remote Code Execution (RCE) möglich – beliebiger Code, der auf Ihrem Server ausgeführt wird. Das ist kein kleiner Bug.
- ✓ Was zu tun ist: Patches existieren für alle aktiven Versionen: 5.5.4, 5.6.2 und 5.7.2. Auf 5.7.1? Installieren Sie 5.7.2. JTL-Hosting-Kunden sind bereits automatisch abgesichert.
Bei TecSee unterstützen wir JTL-Händler in ganz Deutschland bei Shop-Updates und Wartung. Sicherheitspatches sind genau die Art von Situation, in der wir unsere Kunden proaktiv kontaktieren: das muss diese Woche passieren. Nicht aus Panik – sondern weil eine öffentlich bekannt gemachte Schwachstelle ein Zeitfenster für Angreifer öffnet, das mit jedem Tag ohne Patch größer wird.
Die Fakten hinter der Schwachstelle
Gute Entscheidungen brauchen Fakten, keinen Alarmismus. Hier sind die relevanten technischen Details aus JTLs offizieller Sicherheitsmeldung vom 17. Juni 2026:
Die fünf wichtigsten Punkte
/includes/src/Mail/Renderer/SmartyRenderer.php. Wenn Sie den manuellen Patch anwenden, meldet das Backend eine geänderte Datei – das ist erwartet und korrekt. Es bestätigt, dass der Patch aktiv ist.
Welchen Patch brauchen Sie?
| Ihre aktuelle Version | Update auf |
|---|---|
| 5.7.1 | 5.7.2 |
| 5.6.1 | 5.6.2 |
| 5.5.3 | 5.5.4 |
| 5.0.0 – 5.7.0 (keine direkte Patch-Version) | Manueller Patch aus dem JTL-Release-Forum |
| JTL Hosting | Nichts — bereits automatisch abgesichert |
Laden Sie nur aus offiziellen JTL-Quellen (forum.jtl-software.de) herunter – niemals von Drittanbietern.
Ihr Patch-Plan: Fünf Schritte zu einem sicheren Shop
Prüfen Sie Ihre aktuelle Shop-Version
Melden Sie sich im JTL-Shop-Backend an unter /admin. Ihre Version erscheint im Informations-Widget auf dem Dashboard oder unter Administration → System. Notieren Sie die genaue Versionsnummer – sie bestimmt, welchen Patch Sie benötigen.
Laden Sie den richtigen Patch aus dem offiziellen JTL-Release-Forum herunter
Auf 5.7.1? Laden Sie 5.7.2. Auf 5.6.1? Laden Sie 5.6.2. Auf 5.5.3? Laden Sie 5.5.4. Ältere Versionen (5.0.0–5.7.0 ohne direkte Patch-Version) erhalten den separaten manuellen Patch aus dem Forum. Nur offizielle JTL-Quellen.
Erstellen Sie ein vollständiges Backup
Vor jedem Update: Sichern Sie die Datenbank (SQL-Dump) und alle Shop-Dateien. Kein Backup, kein Update – diese Regel gilt für Sicherheitspatches genauso wie für reguläre Updates. Die meisten Hosting-Anbieter bieten Ein-Klick-Backups; alternativ nutzen Sie SSH und mysqldump.
Installieren Sie den Patch über den JTL-Update-Assistenten
Das Update läuft über den standardmäßigen Update-Assistenten unter Administration → System → Update: Laden Sie die ZIP hoch, führen Sie die Installationsroutine aus und starten Sie das Datenbank-Update. Das Update 5.7.1 → 5.7.2 ist ein reiner Sicherheitspatch ohne größere Funktionsänderungen.
Testen und bestätigen
Nach dem Update: Geben Sie eine Testbestellung auf, prüfen Sie den E-Mail-Versand (Bestell- und Versandbestätigungen) und den JTL-Wawi-Connector. Unter Administration → System → Diagnostics, überprüfen Sie die Dateikonsistenz. Eine als geändert markierte SmartyRenderer.php ist nach dem manuellen Patch normal und korrekt.
Lieber machen lassen?
TecSee übernimmt JTL-Shop-Sicherheitspatches für Händler in ganz Deutschland – inklusive Backup, Installation und Tests nach dem Update. Eine Sorge weniger diese Woche.
Jetzt Patch-Installation anfragen →
E-Mail: kontakt@tecsee.de · Telefon: +49 7131 3821180
