Neu Neue Sicherheitslücken JTL-Shop

[EcomSec]

Hallo zusammen,

JTL hat (gestern) am 14. Oktober 2026 zwei Sicherheitslücken veröffentlicht und sie mit einem gemeinsamen Patch geschlossen. Beide lassen sich ohne Anmeldung ausnutzen.

An der Stelle möchte ich ausdrücklich ein Lob an JTL loswerden: Dass solche Lücken überhaupt gefunden und offen kommuniziert werden, liegt daran, dass JTL ein eigenes Security-Programm betreibt und auf Bug-Bounty bzw. Responsible Disclosure setzt. Das ist alles andere als selbstverständlich und zeigt, dass JTL das Thema Sicherheit ernst nimmt. Es ist besser, eine Lücke wird gemeldet, sauber gepatcht und transparent gemacht, als dass sie still im Verborgenen oder unendeckt bleibt.

Die Erfahrung zeigt, dass zwischen dem Bekanntwerden einer Lücke und dem tatsächlich eingespielten Patch oft Tage vergehen. Man kommt selbst nicht sofort dazu, der Service-Partner hat andere Termine, und das Update will ja auch getestet sein. Genau dieses Zeitfenster ist das gefährliche, weil solche Lücken sehr schnell automatisiert abgeklopft werden. Die beiden hier genannten Lücken habe ich gestern über die EcomSec WAF blockiert, also noch bevor bei vielen Shops überhaupt ein Patch eingespielt war.

Proaktiver Schutz ist für mich deshalb kein nettes Extra, sondern gehört einfach dazu. Wer sich selbst ein Bild machen möchte, kann die WAF 14 Tage kostenlos testen und in Ruhe schauen, ob sie für den eigenen Shop passt.

https://www.jtl-software.de/extensi...und-angriffsschutz-fuer-jtl-shop-5-jtl-shop-5

Solltet Ihr Hilfe, Fragen oder Anregungen haben, meldet euch einfach.

Beste Grüsse
Dimitri

 

[recent.digital]

Können uns dem nur anschließen, auch wenn es alle beteiligten teilweise nervt, weil es gefühlt im Wochentakt Updates gibt, gibt es keinen anderen/besseren Weg.

Auf das vielfache Feedback von Kunden und Servicepartnern hat JTL auch diverse Versionsanforderungen für Sicherheitsupdates (für die Wawi) gesenkt bzw. wird einen entsprechenden Hotfix einsetzen.

 

[JohnFrea]

Wieso gibt es keinen Besseren Weg?
Wieso gibts nicht längst eine HotPatch Funktion, über die sich der Shop die tatsächlich auszutauschenden Dateien von JTL holt und per OneClick installiert? Bisher waren die ja gerade NICHT im Child/Template

Statt dessen dumpt JTL als Update eine riesen Datei und sagt: Spielt selbst ein.

JTL macht mit der Wawi einen auf "SaaS" aber beim Shop werden weiterhin Steinzeitmethoden angeboten, die Servicepartner und Kosten nach sich ziehen, es sei denn, man lässt bei JTL hosten.

 

[EcomSec]

Wieso gibt es keinen Besseren Weg?
Wieso gibts nicht längst eine HotPatch Funktion, über die sich der Shop die tatsächlich auszutauschenden Dateien von JTL holt und per OneClick installiert? Bisher waren die ja gerade NICHT im Child/Template

Statt dessen dumpt JTL als Update eine riesen Datei und sagt: Spielt selbst ein.

JTL macht mit der Wawi einen auf "SaaS" aber beim Shop werden weiterhin Steinzeitmethoden angeboten, die Servicepartner und Kosten nach sich ziehen, es sei denn, man lässt bei JTL hosten.

Nachvollziehbar. Eine Auto-Hotpatch-Funktion ist selbst ein Sicherheitsrisiko. Ein Mechanismus, der automatisch Dateien von außen holt und ausführt, ist genau die Art von Supply-Chain-Angriffsfläche, über die wir hier eigentlich reden. Wird so ein Kanal einmal kompromittiert, trifft es auf einen Schlag alle Shops...

 

[JohnFrea]

Nachvollziehbar. Eine Auto-Hotpatch-Funktion ist selbst ein Sicherheitsrisiko. Ein Mechanismus, der automatisch Dateien von außen holt und ausführt, ist genau die Art von Supply-Chain-Angriffsfläche, über die wir hier eigentlich reden. Wird so ein Kanal einmal kompromittiert, trifft es auf einen Schlag alle Shops...

Und deshalb läuft's bei JEDEM mittlegroßen Softwarehersteller GENAU SO?
Mirosoft, Apple, Google, Linux...alle. Sowohl App-Store als auch das Betriebssystem.
Den Kram per Zertifikat zu prüfen ist doch seit Jahrzehnten ABGEHANGENE Technik. Das schaffen auch kleine Projekte per Auto-Updater.

Mit Sicherheit der Supply-Chain musst Du mir auch nicht kommen.
JTL sendet Newsletter mit Download-Links zu Updates/Patches, die via Drittanbieter (Newsletter-Statistik) laufen!

 

[recent.digital]

Es ist natürlich nicht alles das Allerbeste. Aber es tut sich was und wir versuchen einen positiv-realistischen Blick auf die Veränderungen zu haben.

Bei JTL heißt es oft "es ist historisch gewachsen" - auch hier passt diese Beschreibung. Und mit der Systemwahl hat man nun auch die Eigenheiten.