Shopware hat ein Sicherheitsupdate veröffentlicht, das Schwachstellen mit dem Bedrohungslevel „kritisch“ schließt. Betroffen sind alle Shopware-6-Versionen bis einschließlich 6.6.1.0. Für den Long-Term-Support-Zweig Shopware 6.5 stellt Shopware ein separates Sicherheitsupdate bereit. ScaleCommerce, spezialisierter Dienstleister für Shopware-Projekte, appelliert an alle Händler und Agenturen, die betroffenen Systeme umgehend zu aktualisieren. Zudem sollen sie ihre eigene Herangehensweise an derart kritische Sicherheitslücken überdenken.
„Kritisch“ bedeutet in diesem Kontext die höchste Risikokategorie, die Shopware vergibt. Das aktuelle Update schließt insgesamt zehn Schwachstellen in den Shopware-Versionen 6.1.0 bis einschließlich 6.6.1.0. Mehrere davon weisen einen hohen CVSS-Schweregrad von über 8,0 auf. Im schlimmsten Fall ermöglichen sie Angreifern die Ausführung beliebiger Systembefehle oder die vollständige Übernahme von Administratorkonten. Das kann verheerende Folgen für Shop- und Kundendaten haben. Daher sollte das Sicherheitsupdate schnell installiert werden.
Wie Sicherheitsforscher in den letzten Monaten immer wieder gezeigt haben, suchen Angreifer nach Bekanntwerden solcher Lücken automatisiert nach potenziellen Opfern. Die Dringlichkeit sollte also klar sein. Die Realität sieht oft aber anders aus. Tatsächlich ist es so, dass relevante Sicherheitslücken trotz verfügbarer Updates nicht oder erst mit deutlicher Verzögerung geschlossen werden. Die individuellen Anpassungen und die vielen Plugins im Shop erhöhen das Risiko, dass ein Update Inkompatibilitäten verursacht. Das führt zu dieser Abwehrhaltung bei Shopbetreibern.
„Ein als kritisch eingestuftes Sicherheitsupdate ist immer ein Weckruf – unabhängig davon, wie genau die Schwachstelle im Detail funktioniert. Wer jetzt wartet, spielt mit dem Vertrauen seiner Kundinnen und Kunden und im schlimmsten Fall mit dem Fortbestand des eigenen Shops.“, sagt Oliver Kley, Shopware-Applikations-Experte bei ScaleCommerce. „Wir erleben immer wieder, dass genau die Shops am längsten ungeschützt bleiben, die am meisten individuelle Anpassungen und Plugins im Einsatz haben – aus Sorge vor Inkompatibilitäten. Diese Sorge ist nachvollziehbar, darf aber nicht dazu führen, dass ein kritisches Update im Zweifel gar nicht kommt. Unsere Empfehlung ist eindeutig: Update zuerst, alles andere kann warten. Gerade individuell angepasste Shops sollten das Update nicht ungeprüft im Livesystem einspielen. Sie sollten zunächst in einer Staging-Umgebung testen – aber dieser Test gehört jetzt ganz oben auf die Liste, nicht in die nächste Sprintplanung. Als verbindlichen Grundschutz empfehlen wir zusätzlich, das Shopware-Security-Plugin auf allen relevanten Shops zu installieren und konsequent aktuell zu halten.“
ScaleCommerce empfiehlt Shopware-Betreiberinnen und -Betreibern folgendes Vorgehen:
ScaleCommerce unterstützt Händler und Agenturen bei der schnellen und sicheren Einspielung des Updates sowie bei der langfristigen Absicherung ihrer Shopware-Systeme.
„Kritisch“ bedeutet in diesem Kontext die höchste Risikokategorie, die Shopware vergibt. Das aktuelle Update schließt insgesamt zehn Schwachstellen in den Shopware-Versionen 6.1.0 bis einschließlich 6.6.1.0. Mehrere davon weisen einen hohen CVSS-Schweregrad von über 8,0 auf. Im schlimmsten Fall ermöglichen sie Angreifern die Ausführung beliebiger Systembefehle oder die vollständige Übernahme von Administratorkonten. Das kann verheerende Folgen für Shop- und Kundendaten haben. Daher sollte das Sicherheitsupdate schnell installiert werden.
Wie Sicherheitsforscher in den letzten Monaten immer wieder gezeigt haben, suchen Angreifer nach Bekanntwerden solcher Lücken automatisiert nach potenziellen Opfern. Die Dringlichkeit sollte also klar sein. Die Realität sieht oft aber anders aus. Tatsächlich ist es so, dass relevante Sicherheitslücken trotz verfügbarer Updates nicht oder erst mit deutlicher Verzögerung geschlossen werden. Die individuellen Anpassungen und die vielen Plugins im Shop erhöhen das Risiko, dass ein Update Inkompatibilitäten verursacht. Das führt zu dieser Abwehrhaltung bei Shopbetreibern.
„Ein als kritisch eingestuftes Sicherheitsupdate ist immer ein Weckruf – unabhängig davon, wie genau die Schwachstelle im Detail funktioniert. Wer jetzt wartet, spielt mit dem Vertrauen seiner Kundinnen und Kunden und im schlimmsten Fall mit dem Fortbestand des eigenen Shops.“, sagt Oliver Kley, Shopware-Applikations-Experte bei ScaleCommerce. „Wir erleben immer wieder, dass genau die Shops am längsten ungeschützt bleiben, die am meisten individuelle Anpassungen und Plugins im Einsatz haben – aus Sorge vor Inkompatibilitäten. Diese Sorge ist nachvollziehbar, darf aber nicht dazu führen, dass ein kritisches Update im Zweifel gar nicht kommt. Unsere Empfehlung ist eindeutig: Update zuerst, alles andere kann warten. Gerade individuell angepasste Shops sollten das Update nicht ungeprüft im Livesystem einspielen. Sie sollten zunächst in einer Staging-Umgebung testen – aber dieser Test gehört jetzt ganz oben auf die Liste, nicht in die nächste Sprintplanung. Als verbindlichen Grundschutz empfehlen wir zusätzlich, das Shopware-Security-Plugin auf allen relevanten Shops zu installieren und konsequent aktuell zu halten.“
ScaleCommerce empfiehlt Shopware-Betreiberinnen und -Betreibern folgendes Vorgehen:
- Shopware-Version prüfen und feststellen, ob 6.7.13.0 oder früher beziehungsweise die betroffene 6.6-Version im Einsatz ist.
- Das passende Sicherheitsupdate (6.7 oder 6.6) zeitnah in einer Testumgebung einspielen und prüfen – insbesondere im Zusammenspiel mit individuellen Anpassungen und installierten Plugins.
- Nach erfolgreichem Test das Update zügig auf dem Live-System ausrollen.
- Das Shopware-Security-Plugin auf allen relevanten Shops installieren und dauerhaft aktuell halten, um auch zwischen Updates einen verbindlichen Basisschutz sicherzustellen.
- Bei Unsicherheit oder fehlenden Kapazitäten, kurzfristig Unterstützung durch einen Shopware-Dienstleister einholen.
ScaleCommerce unterstützt Händler und Agenturen bei der schnellen und sicheren Einspielung des Updates sowie bei der langfristigen Absicherung ihrer Shopware-Systeme.
