Für das Zahlungs-Plugin WooCommerce Stripe Gateway sind Sicherheitsupdates erschienen. Der Hersteller fordert Shopbetreiber seit dem 11. November 2026 auf, die Erweiterung auf Version 11.2.0 zu aktualisieren. Wer vorerst auf der Versionsreihe 11.1 bleibt, soll mindestens 11.1.2 installieren. Die schwerwiegendsten behobenen Probleme könnten nach Herstellerangaben betrügerische Einkäufe ermöglichen.
Zusätzlich müssen Shops, die im Sommer die Plugin-Version 10.9.0 verwendeten, einen älteren Fehler bei neu angelegten Kundenkonten berücksichtigen: Unter bestimmten Checkout-Bedingungen konnten Kundenpasswörter unverschlüsselt in Bestelldaten landen. Die aktuelle Sicherheitsmeldung betrifft ausdrücklich die Stripe-Zahlungserweiterung, nicht sämtliche WooCommerce-Installationen.
Zwei Update-Zweige gegen Sicherheitsprobleme
WooCommerce nennt für die aktuelle Plugin-Reihe die Version 11.2.0 und bietet für Betreiber, die wegen des laufenden Geschäfts auf 11.1.x bleiben müssen, die korrigierte Version 11.1.2 an. Die Fehler wurden sowohl durch interne Sicherheitsprüfungen von Automattic als auch durch externe Meldungen entdeckt. Einzelheiten zu den möglichen betrügerischen Bestellungen beschreibt die Mitteilung nicht; eine konkrete Angriffsmethode lässt sich daraus deshalb nicht ableiten.
Nach Angaben des Herstellers gibt es bislang keine Hinweise auf eine tatsächliche Ausnutzung. Das beseitigt den Handlungsbedarf nicht: Betreiber sollten die installierte Plugin-Version prüfen und die Korrektur einspielen, bevor weitere Bestellungen über das betroffene Zahlungssystem verarbeitet werden.
Ältere Version konnte Kundenpasswörter in Bestellungen speichern
Ein gesonderter Fehler betraf ausschließlich WooCommerce Stripe Gateway 10.9.0 und eine bestimmte Kombination aus klassischer WooCommerce-Kasse, dort eingeblendeten Stripe-Express-Checkout-Schaltflächen und einer Kontoerstellung während der Bestellung. Wenn Kunden dabei selbst ein Passwort vergaben und über Apple Pay oder Google Pay bezahlten, konnte dieses neue Kontopasswort als Klartext in den Bestellmetadaten abgelegt werden.
Solche Daten waren über die Bestelldetailansicht für Administratoren und Shop-Manager sowie über Werkzeuge mit Zugriff auf Bestellmetadaten wie WP-CLI oder die REST-API zugänglich. Das bedeutet nicht, dass jeder Besucher sie öffentlich einsehen konnte. Ob jemand die gespeicherten Passwörter tatsächlich gelesen hat, kann WooCommerce nach eigenen Angaben nicht feststellen.
Bereits Version 10.9.1 unterband das erneute Speichern. Seit 11.1.0 entfernt das Plugin frühere Passwortfelder nach einem Update automatisch im Hintergrund aus Bestelldatensätzen. Diese Bereinigung setzt Kundenpasswörter jedoch nicht zurück und entfernt keine eigenständigen Kopien in historischen Backups oder Datenexporten.
Betroffene Shops und gespeicherte Daten prüfen
Wurde die Stripe-Erweiterung in der Vergangenheit in Version 10.9.0 eingesetzt, sind die damaligen Checkout-Einstellungen entscheidend. Die folgenden Prüfungen sollten neben dem eigentlichen Plugin-Update erfolgen:
- Installierte Version kontrollieren: In WordPress unter „Plugins“ die Stripe-Erweiterung prüfen. Auch bei aktivierten automatischen Updates die tatsächlich installierte Nummer ablesen.
- Historische Bestelldaten einbeziehen: Bei früherer Version 10.9.0 nach möglichen Kopien von Bestellmetadaten in Sicherungen, Exporten und verbundenen Systemen suchen. Eine fehlende WordPress-Benachrichtigung schließt solche Kopien nicht aus.
- Betroffene Kunden schützen: Nach Hinweisen auf gespeicherte Zugangsdaten einen Passwortwechsel für die jeweiligen Shopkonten erwägen und die Kunden auch auf die Änderung wiederverwendeter Passwörter bei anderen Diensten hinweisen.
- Alle Instanzen prüfen: Weitere Shops sowie öffentlich erreichbare Test- und Staging-Systeme gesondert kontrollieren.
Entfernt die automatische Bereinigung alte Passwortwerte, zeigt das Plugin laut WooCommerce einen Hinweis im Administrationsbereich und sendet eine E-Mail an die Website-Administration. Darin kann auch die Zahl der Konten stehen, bei denen eines der entfernten Passwörter noch verwendet wird. Die Benachrichtigung ersetzt keine Prüfung externer Datenkopien.
WordPress- und WooCommerce-Versionen beachten
Die korrigierten Stripe-Plugin-Versionen 11.2.0 und 11.1.2 setzen nach der Herstellerinformation mindestens WordPress 6.9 und WooCommerce 11.0 voraus. Shopbetreiber auf älteren Plattformversionen müssen vor dem Plugin-Update daher auch die Kompatibilität des Shopkerns und gegebenenfalls weiterer Erweiterungen prüfen. Ein Stripe-Update ersetzt ausdrücklich kein Sicherheitsupdate des eigentlichen WooCommerce-Plugins.
Nach der Aktualisierung sollte eine Testbestellung mit den im Shop verwendeten Zahlungsmethoden kontrolliert werden. Bei Abhängigkeiten von älteren Plugins empfiehlt sich vorab eine gesicherte Aktualisierung in einer geeigneten Testumgebung; das Sicherheitsupdate sollte dadurch aber nicht unnötig aufgeschoben werden.
Download und Update
Die aktuelle Erweiterung ist über das offizielle deutsche WordPress-Pluginverzeichnis erhältlich. Die Version 11.1.2 für Shops auf dem 11.1-Zweig lässt sich über den Bereich „Entwicklung“ und die dort angebotenen früheren Versionen beziehen. Bei manueller Installation in WordPress muss die bestehende Plugin-Version durch die heruntergeladene ZIP-Datei ersetzt und die anschließende Versionsnummer kontrolliert werden.
Die konkreten Sicherheitsprobleme, die Voraussetzungen für den Klartext-Passwortfehler und die Bereinigung älterer Bestelldaten erläutert WooCommerce in seinen Sicherheitshinweisen vom 11. November 2026. Eine gleichwertige offizielle deutsche Fassung dieser technischen Mitteilung liegt nicht vor.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten