Shopware: Sicherheitsupdate nachholen, Labels bis 27. September

Neun Lücken seit dem 25. August

Am 25.08.2026 hat Shopware die Versionen 6.7.13.1 und 6.6.10.23 veröffentlicht. Die Release Notes zu 6.6.10.23 listen neun Schwachstellen. Darunter ein Ausbruch aus der App-Script-Sandbox mit beliebiger PHP- und OS-Codeausführung, Host-Header-Poisoning beim Passwort-Reset, SQL-Injection-Risiken, DNS-Rebinding und fehlendes Rate Limiting.

Sansec hat am selben Tag eine öffentliche Analyse veröffentlicht. Beschrieben wird die Übernahme eines Administratorkontos mit anschliessender PHP-Ausführung auf dem Server. Der Angriff braucht einen gültigen Sales-Channel-Key. Headless-Storefronts liefern diesen Key im Normalbetrieb an den Client aus, solche Setups sind entsprechend exponiert. Shopware stuft die Lücke als High ein, CVSS 8.6.

Alles unterhalb 6.7.13.1 beziehungsweise 6.6.10.23 ist ungepatcht. Ist ein sofortiges Update nicht machbar, nennen Shopware und Sansec das Security-Plugin und eine Einschränkung des Store-API-Zugriffs als Zwischenlösung.

Zwei Details können das Update selbst stolpern lassen. Entity- und Feldnamen aus der entities.xml von Apps und Plugins werden neu schon bei Installation und Update geprüft. Und der Passwort-Reset im Admin nutzt ohne Trusted Hosts nun APP_URL, die also die echte öffentliche Adresse enthalten muss. Bei Reverse-Proxy- und Multi-Domain-Konstellationen lohnt ein Blick vor dem Produktivlauf.

6.7.14.0 und die EU-Labels

Shopware 6.7.14.0 ist am 09.09.2026 erschienen. Enthalten ist die native Unterstützung für zwei neue EU-Pflichtangaben, in allen Plänen inklusive Community Edition und ohne Zusatzerweiterung. Grundlage ist die Durchführungsverordnung (EU) 2025/1960 zur Richtlinie (EU) 2024/825. Ab 27.09.2026 gilt sie für den Verkauf physischer Waren an Verbraucherinnen und Verbraucher in der EU.

Der Gewährleistungshinweis betrifft praktisch jede B2C-Produktseite. Er wird unter Einstellungen, Warenkorb-Einstellungen, Checkout gepflegt und lässt sich pro Verkaufskanal überschreiben. Der Text liegt in allen 24 EU-Amtssprachen vor, mit Englisch als Rückfallebene. Auf der Bestellabschluss-Seite kommt neben der AGB-Checkbox ein Link dazu, der auf die Informationsseite der EU-Kommission führt.

Das GARAN-Label wird zusätzlich fällig, sobald eine Herstellergarantie beworben wird. Es sitzt je Produkt auf der Detailseite, editierbar sind nur Dauer, Hersteller und Modell. Design und Wortlaut beider Labels sind vorgegeben. Eigenbauten sind darum keine Option.

Ob die Funktion auf die 6.6er-Reihe zurückportiert wird, ist in den Shopware-Quellen nicht bestätigt. Für Shops auf 6.6 bleibt das die offene Planungsfrage. Ein kurzfristig erzwungener Sprung auf 6.7 nur wegen der Labels ist vor dieser Klärung schlecht kalkulierbar.

Weiter in 6.7.14.0: Ratepay-Rechnungskauf über Shopware Payments, ein nachvollziehbarerer Bestellstatusverlauf, vereinfachte Sprachverwaltung, ein neuer Menüpunkt Automatisierung und ein fertiger Flow für fehlgeschlagene Zahlungen.

Was jetzt zu tun ist

Der technische Aufwand für die Labels ist überschaubar. Länger dauert die Beschaffung der Angaben. Garantiedauer, Umfang und Kostenfreiheit sollten die Hersteller schriftlich bestätigen, und Lieferantenkommunikation zieht sich über Wochen. Damit beginnen Sie am besten heute, unabhängig vom Wartungsfenster.

Bei angepassten Themes ist Nacharbeit wahrscheinlich. Überschriebene Templates für Produktseite und Checkout zeigen die Labels nicht automatisch an der richtigen Stelle. Die Mobilansicht gehört mit in die Kontrolle.

Für Schweizer Shops, die ausschliesslich an Kundschaft im Inland verkaufen, adressiert die Verordnung den Verkauf nicht. Wer physische Waren an Verbraucher in der EU liefert, klärt die Einordnung besser rechtlich ab.

• Patchstand prüfen: alles unter 6.7.13.1 oder 6.6.10.23 ist offen

• Sicherheitsupdate und Sprung auf 6.7.14.0 in einem Wartungsfenster erledigen

• Apps und Plugins auf Entity- und Feldnamen prüfen, APP_URL kontrollieren

• Garantieangaben bei den Herstellern schriftlich einholen

• Checkout- und Produktseiten-Templates auf Label-Darstellung testen, auch mobil

• Mittelfristig einplanen: Ablösung von PHP 8.2 vor dem EOL Ende 2026 und von MySQL 8.0