Mehr als 50.000 Kunden setzen auf Lösungen von JTL. Entsprechend sensibel sind Schnittstellen, über die täglich Preise, Bestände, Artikel und Bestellungen zwischen Shops und Warenwirtschaft übertragen werden.
Für einen Kunden haben wir Funktionen der WooCommerce-JTL-Schnittstelle geprüft und angepasst. Dabei fiel uns ein Verhalten auf, das so nicht vorgesehen sein konnte. Bei genauerer Analyse zeigte sich: über die Schwachstelle war ein weitreichender Lese- und Schreibzugriff auf die Schnittstelle möglich.
In unserer Testumgebung konnten wir unter anderem:
- Artikelpreise verändern
- Lagerbestände manipulieren
- Daten über die Schnittstelle auslesen
- den Status der Bestellungsübertragung zurücksetzen
Letzteres führte dazu, dass bereits früher übertragene Bestellungen erneut abrufbar waren. Damit konnten grundsätzlich auch historische Bestelldaten wieder über die Schnittstelle bereitgestellt werden.
Zum Zeitpunkt unserer ersten Meldung am 12.08.2026 haben wir diese Details bewusst nicht veröffentlicht. JTL sollte zunächst die Möglichkeit erhalten, die Schwachstelle zu prüfen und zu schließen.
Vom Verdacht zum Nachweis
Ein Verdacht allein reicht bei einer Sicherheitslücke nicht aus. Deshalb haben wir den Programmcode analysiert und das Verhalten ausschließlich in einer kontrollierten Kundenumgebung reproduziert. Dafür entstand ein eigenes Testskript, mit dem wir unter anderem Bestands- und Preisänderungen gezielt nachvollziehen und den Zugriff auf bereits übertragene Bestellungen prüfen konnten. Damit ließ sich die Schwachstelle eindeutig und reproduzierbar nachweisen.
Nicht nur melden, sondern eine Lösung liefern
Neben der technischen Analyse haben wir auch einen kompakten Patch entwickelt. Dieser verhinderte den direkten Zugriff auf die betroffenen internen Komponenten und prüfte zusätzlich, ob die Schutzmaßnahme auf dem jeweiligen Webserver tatsächlich wirksam war. Unsere Meldung an JTL enthielt damit:
- eine technische Ursachenanalyse
- einen reproduzierbaren Nachweis
- eine Bewertung der möglichen Auswirkungen
- ein Testskript
- einen konkreten Lösungsvorschlag
JTL hat die Sicherheitslücke geschlossen
Den Befund haben wir an JTL-Software übermittelt und zusätzlich den Chaos Computer Club informiert. JTL hat reagiert und die Sicherheitslücke am 18.08.2026 geschlossen. Deshalb können wir heute konkreter über die Auswirkungen sprechen. Auf Details, mit denen sich der ursprüngliche Angriff unmittelbar nachvollziehen ließe, verzichten wir trotzdem bewusst.
