Shopware 6.7.x: erneut Sicherheitslücke
Eine weitere Sicherheitslücke schreckt die Shopware Community auf. Dieses Mal sind Fremdanbieter betroffen.
Wichtiges Sicherheitsupdate für Shopware-Händler: Was jetzt zu tun ist
Wenn du in letzter Zeit in deiner Shopware-Administration eine Meldung über „Sicherheitslücken“ oder „Security Advisories“ gesehen hast, dann ist das kein Fehler und kein Angriff auf deinen Shop — aber du solltest handeln. In diesem Beitrag erklären wir dir verständlich, was passiert ist, warum es deinen Shop betrifft und was konkret zu tun ist.
Was ist passiert?
In zwei weit verbreiteten Bausteinen, auf denen Shopware aufbaut, wurden schwerwiegende Sicherheitslücken entdeckt. Diese Bausteine heißen Twig und Symfony. Sie sind nicht von Shopware selbst entwickelt worden, sondern von unabhängigen Softwareherstellern — und sie werden von tausenden Webshops und Webseiten weltweit verwendet.
Die Sicherheitsforscher, die diese Lücken entdeckt haben, haben die Hersteller sofort informiert. Die Hersteller haben die Lücken anschließend öffentlich bekanntgemacht und gleichzeitig Patches — also Reparaturen — veröffentlicht.
Was sind Twig und Symfony überhaupt?
Das sind zwei Begriffe, die für normale Händler zunächst nichts bedeuten. Hier eine einfache Erklärung:
Symfony ist das Fundament, auf dem Shopware gebaut wurde. So wie ein Haus auf einem Fundament steht, das ein Spezialist gegossen hat, nutzt Shopware dieses bewährte Grundgerüst, das bereits in tausenden anderen Projekten weltweit im Einsatz ist. Das spart Zeit und erhöht normalerweise die Qualität — bedeutet aber auch: Wenn im Fundament eine Schwachstelle gefunden wird, betrifft das alle Häuser, die darauf stehen.
Twig ist die Schicht, die dafür zuständig ist, wie dein Shop für Besucher aussieht — also welche Produkte wo angezeigt werden und wie die Seiten aufgebaut sind. Es ist die Verbindung zwischen den Daten deines Shops und dem, was der Kunde im Browser sieht.
Wie gefährlich ist das?
Die gefundenen Lücken sind ernst zu nehmen. Die schwerwiegendste davon trägt die Einstufung „Critical“ — die höchste Gefährdungsstufe, die es gibt. Sie würde es einem Angreifer unter bestimmten Umständen ermöglichen, eigenen Programmcode auf deinem Server auszuführen. Das bedeutet im schlimmsten Fall: vollständiger Zugriff auf deinen Server, deine Kundendaten und deine Bestellungen.
Damit das passiert, müsste ein Angreifer jedoch gezielt und technisch versiert vorgehen. Es handelt sich nicht um etwas, das automatisch und sofort passiert. Dennoch gilt: Je länger eine solche Lücke offen bleibt, desto höher das Risiko.
Betrifft das meinen Shop?
Ja, wenn du Shopware 6 mit einer Version älter als 6.7.10.2 betreibst.
Die Lücken stecken in Bausteinen, die in allen Shopware 6-Versionen der 6.7er-Reihe eingesetzt werden. Shopware hat daher ein Sicherheitsupdate veröffentlicht, das diese Bausteine auf sichere Versionen aktualisiert.
Wichtig: Das sogenannte „Security Updates“-Plugin — ein Plugin, das Shopware für kleinere Sicherheitsprobleme anbietet — reicht in diesem Fall ausdrücklich nicht aus. Shopware hat selbst kommuniziert, dass dieses Plugin bei dieser Art von Lücke nicht helfen kann.
Was ist zu tun?
Die Lösung ist ein Update auf Shopware 6.7.10.2. Diese Version enthält die reparierten Bausteine und schließt damit die bekannten Sicherheitslücken.
Das klingt einfacher als es ist: Ein Shopware-Update ist kein Klick auf einen Knopf. Es sollte immer von einem erfahrenen Techniker oder deiner Agentur durchgeführt werden, weil dabei unter anderem geprüft werden muss, ob alle installierten Plugins mit der neuen Version kompatibel sind.
Empfohlenes Vorgehen:
- Sprich deine Shopware-Agentur oder deinen Techniker an und weise auf diesen Beitrag hin.
- Das Update sollte zunächst auf einer Testumgebung eingespielt werden.
- Erst nach erfolgreichem Test wird die Produktivumgebung aktualisiert.
- Nach dem Update kann technisch überprüft werden, ob alle Sicherheitslücken geschlossen sind.
Ich habe keine Agentur — was nun?
Wenn du deinen Shop selbst betreibst und keine technische Unterstützung hast, ist jetzt der richtige Zeitpunkt, dir Hilfe zu holen. Die bekannten Sicherheitslücken sind öffentlich dokumentiert — das bedeutet, dass auch Angreifer von ihrer Existenz wissen.
Wende dich an einen Shopware-Experten. Die meisten Agenturen führen solche Updates auch für Bestandskunden anderer Dienstleister durch.
Zusammenfassung
| Frage | Antwort |
|---|---|
| Was ist das Problem? | Kritische Sicherheitslücken in zwei Bausteinen, auf denen Shopware aufbaut |
| Bin ich betroffen? | Ja, wenn deine Shopware-Version älter als 6.7.10.2 ist |
| Reicht das Security-Plugin? | Nein — in diesem Fall ausdrücklich nicht |
| Was ist die Lösung? | Update auf Shopware 6.7.10.2 |
| Kann ich selbst updaten? | Nur wenn du technisch versiert bist — sonst Agentur beauftragen |
| Wie dringend ist das? | Zeitnah — die Lücken sind öffentlich bekannt |
Hast du Fragen zu diesem Thema oder benötigst du Unterstützung beim Update? Sprich uns an.
