Neu Neue Sicherheitslücken JTL-Shop

[EcomSec]

Hallo zusammen,

JTL hat (gestern) am 14. Oktober 2026 zwei Sicherheitslücken veröffentlicht und sie mit einem gemeinsamen Patch geschlossen. Beide lassen sich ohne Anmeldung ausnutzen.

An der Stelle möchte ich ausdrücklich ein Lob an JTL loswerden: Dass solche Lücken überhaupt gefunden und offen kommuniziert werden, liegt daran, dass JTL ein eigenes Security-Programm betreibt und auf Bug-Bounty bzw. Responsible Disclosure setzt. Das ist alles andere als selbstverständlich und zeigt, dass JTL das Thema Sicherheit ernst nimmt. Es ist besser, eine Lücke wird gemeldet, sauber gepatcht und transparent gemacht, als dass sie still im Verborgenen oder unendeckt bleibt.

Die Erfahrung zeigt, dass zwischen dem Bekanntwerden einer Lücke und dem tatsächlich eingespielten Patch oft Tage vergehen. Man kommt selbst nicht sofort dazu, der Service-Partner hat andere Termine, und das Update will ja auch getestet sein. Genau dieses Zeitfenster ist das gefährliche, weil solche Lücken sehr schnell automatisiert abgeklopft werden. Die beiden hier genannten Lücken habe ich gestern über die EcomSec WAF blockiert, also noch bevor bei vielen Shops überhaupt ein Patch eingespielt war.

Proaktiver Schutz ist für mich deshalb kein nettes Extra, sondern gehört einfach dazu. Wer sich selbst ein Bild machen möchte, kann die WAF 14 Tage kostenlos testen und in Ruhe schauen, ob sie für den eigenen Shop passt.

https://www.jtl-software.de/extensi...und-angriffsschutz-fuer-jtl-shop-5-jtl-shop-5

Solltet Ihr Hilfe, Fragen oder Anregungen haben, meldet euch einfach.

Beste Grüsse
Dimitri

 

[recent.digital]

Können uns dem nur anschließen, auch wenn es alle beteiligten teilweise nervt, weil es gefühlt im Wochentakt Updates gibt, gibt es keinen anderen/besseren Weg.

Auf das vielfache Feedback von Kunden und Servicepartnern hat JTL auch diverse Versionsanforderungen für Sicherheitsupdates (für die Wawi) gesenkt bzw. wird einen entsprechenden Hotfix einsetzen.

 

[JohnFrea]

Wieso gibt es keinen Besseren Weg?
Wieso gibts nicht längst eine HotPatch Funktion, über die sich der Shop die tatsächlich auszutauschenden Dateien von JTL holt und per OneClick installiert? Bisher waren die ja gerade NICHT im Child/Template

Statt dessen dumpt JTL als Update eine riesen Datei und sagt: Spielt selbst ein.

JTL macht mit der Wawi einen auf "SaaS" aber beim Shop werden weiterhin Steinzeitmethoden angeboten, die Servicepartner und Kosten nach sich ziehen, es sei denn, man lässt bei JTL hosten.

 

[EcomSec]

Wieso gibt es keinen Besseren Weg?
Wieso gibts nicht längst eine HotPatch Funktion, über die sich der Shop die tatsächlich auszutauschenden Dateien von JTL holt und per OneClick installiert? Bisher waren die ja gerade NICHT im Child/Template

Statt dessen dumpt JTL als Update eine riesen Datei und sagt: Spielt selbst ein.

JTL macht mit der Wawi einen auf "SaaS" aber beim Shop werden weiterhin Steinzeitmethoden angeboten, die Servicepartner und Kosten nach sich ziehen, es sei denn, man lässt bei JTL hosten.

Nachvollziehbar. Eine Auto-Hotpatch-Funktion ist selbst ein Sicherheitsrisiko. Ein Mechanismus, der automatisch Dateien von außen holt und ausführt, ist genau die Art von Supply-Chain-Angriffsfläche, über die wir hier eigentlich reden. Wird so ein Kanal einmal kompromittiert, trifft es auf einen Schlag alle Shops...

 

[JohnFrea]

Nachvollziehbar. Eine Auto-Hotpatch-Funktion ist selbst ein Sicherheitsrisiko. Ein Mechanismus, der automatisch Dateien von außen holt und ausführt, ist genau die Art von Supply-Chain-Angriffsfläche, über die wir hier eigentlich reden. Wird so ein Kanal einmal kompromittiert, trifft es auf einen Schlag alle Shops...

Und deshalb läuft's bei JEDEM mittlegroßen Softwarehersteller GENAU SO?
Mirosoft, Apple, Google, Linux...alle. Sowohl App-Store als auch das Betriebssystem.
Den Kram per Zertifikat zu prüfen ist doch seit Jahrzehnten ABGEHANGENE Technik. Das schaffen auch kleine Projekte per Auto-Updater.

Und...JTL geht ja GENAU den Weg bereits für Plugins über den Extension Store.

Mit Sicherheit der Supply-Chain musst Du mir auch nicht kommen.
JTL sendet Newsletter mit Download-Links zu Updates/Patches, die via Drittanbieter (Newsletter-Statistik) laufen!

 

[recent.digital]

Es ist natürlich nicht alles das Allerbeste. Aber es tut sich was und wir versuchen einen positiv-realistischen Blick auf die Veränderungen zu haben.

Bei JTL heißt es oft "es ist historisch gewachsen" - auch hier passt diese Beschreibung. Und mit der Systemwahl hat man nun auch die Eigenheiten.

 

[JohnFrea]

Es ist stand Jahr 2000 - das kann man sich nicht schön Reden und das wird noch VIEL berechtigtes Murren auf Seiten von Kunden geben, die auf Servicepartner zwecks Installation angewiesen sind.

 

[Zoecturne]

Naja, bei jedem Patch gibt es eine detaillierte Anleitung, wie man:

a) den Shop updated
und
b) Patches einspielt. Und sind wir mal ehrlich, fertige Dateien per FTP überbügeln schafft man, wenn man in der Lage ist, eine Maus zu bedienen.

Wer wirklich total aufgeschmissen ist und tatsächlich einen externen Dienstleister braucht, um ein Sicherheitspatch einzuspielen...der sollte vielleicht lieber einfach sein Geld für einen Lesekurs ausgeben. Nicht, dass nicht jeder Dienstleister sein Geld verdient hätte, aber die Aussage "angewiesen" ist ein Witz.
Außer man betrachtet Faulheit als Zwang.

...man könnte ja auch einfach froh sein, dass auf die Sicherheit geachtet wird 🙂
Davon aber mal ganz abgesehen, macht nicht nur JTL die Sicherheitsfixes, da haben andere Hosting-Anbieter auch schon ihre Automatismen.

 

[JohnFrea]

b) Patches einspielt. Und sind wir mal ehrlich, fertige Dateien per FTP überbügeln schafft man, wenn man in der Lage ist, eine Maus zu bedienen.

Es ist aber gar nicht Aufgabe eine Verkäufers. Es ist technisch unnötige Steinzeit.

Und es ist eben oft nicht einfach per FTP Hochladen, weil JTL gerne auch unnötige Dateien in die Updates aufnimmt.
Beliebt z.B. .htaccess und /admin/.htaccess bei denen ggf. Änderungen nachgezogen werden müssen.
Dann erklär mal einem VERKÄUFER WinMerg.exe - schönen Dank auch.

 

[martinwolf]

Es ist stand Jahr 2000 - das kann man sich nicht schön Reden und das wird noch VIEL berechtigtes Murren auf Seiten von Kunden geben, die auf Servicepartner zwecks Installation angewiesen sind.

Naja, würde man als Shopbetreiber seine Verkaufssoftware in regelmäßigen Abständen auf einen halbwegs aktuellen Stand bringen, müsste man die Dateien nicht einzeln per Hand patchen, sondern spielt einfach die zur Verfügung gestellten Updates ein. Für die letzten Sicherheitsupdates hat JTL stehts 5.6, 5.7 und 5.8 berücksichtigt und für ältere Versionen die notwendigen Informationen zum manuellen Fixen bereit gestellt. Zudem hat JTL es nun auch beim Patch von gestern auch geschafft für jede Version ab 5.3 die bereits gepatchte Dateien zum Downlod anzubieten, sodass es ein einfacher Dateiupload ist anstatt manuell die Dateien per Hand zu verändern.

 

[JohnFrea]

Darüber sprechen wir hier doch.
Shopbetreiber müssen FTP-Rödeln wie vor 20 Jahren oder jemanden dafür Bezahlen.

KI läuft sich beim Auffinden der Lücken doch grade erst warm und jeden Monat ein Update mit meheren Patches wird uns vermutlich noch eine Weile begleiten.

Wann trägt JTL der Entwicklung Rechnung mit einem zeitgemäßen Updatemechanismus?

 

[Morimus]

Wann trägt JTL der Entwicklung Rechnung mit einem zeitgemäßen Updatemechanismus?

Naja, derzeit!
Also vielleicht nicht unbedingt genau an dem Updatemechanismus, den du dir wünschst, aber man kann durchaus sagen, dass JTL aktuell dabei ist, aufzuräumen.

15 Jahre JTL bedeuten eben auch 15 Jahre Flickwerk.
Oder wie recent.digital es oben so schön formuliert hat: „Historisch gewachsen“. 😁