Shopware Versionen 2026:Support, Patches & Sicherheitslücken

Shopware veröffentlicht jedes Jahr eine Major-Version, jeden Monat ein Minor-Release und bei Bedarf Patch- und Sicherheitsupdates. Da verliert man schnell den Überblick. Hier findest du alle relevanten Shopware-6-Versionen mit aktuellem Patchstand, Support-Ende und den wichtigsten bekannten Sicherheitslücken – und was wir dir für deinen Shop empfehlen.

So liest du die Versionsnummer: 6.Major.Minor.Patch. Bei 6.6.10.30 ist 6.6 die Major-Version, .10 der Minor- und .30 der Patch-Stand. Patch-Updates sind in der Regel unkritisch, Major-Updates enthalten Breaking Changes und brauchen Planung.

Gut zu wissen: Der Extended Support gilt nur für den letzten Minor-Stand einer Linie – bei 6.6 also 6.6.10.x. Ein Shop auf 6.6.5 bekommt keine Patches mehr. Shopware 6.8 ist für 2027 angekündigt; dann rückt auch 6.6 näher ans Support-Ende.

Die letzten Sicherheitsreleases hat Shopware am 25. August und 16. September 2026 veröffentlicht. Aus Sicherheitssicht solltest du deshalb mindestens auf diesem Stand sein:

• Shopware 6.7: mindestens 6.7.14.1 – besser der aktuelle Patch 6.7.15.1
• Shopware 6.6: mindestens 6.6.10.25 – besser der aktuelle Patch 6.6.10.30
• Shopware 6.5: 6.5.8.19 mit aktuellem Security-Plugin – nur als Übergang bis zum Update
• Shopware 6.4 und älter: Es gibt keinen sicheren Stand mehr.

Eine Auswahl der wichtigsten öffentlich bekannten Lücken aus den Shopware Security Advisories. Entscheidend ist immer: In welcher Version wurde die Lücke behoben – und ist dein Shop schon darüber?

Shopware 6.7

• September 2026 (behoben in 6.7.14.1 / 6.6.10.25): u. a. eine als kritisch eingestufte Lücke, über die Webhook-Berechtigungen Event-Rechte umgehen und sensible Daten preisgeben konnten, eine SQL-Injection in der Store-API-Aggregation (bei PHP < 8.4) und eine Rechteausweitung bei Profil-Updates.
• August 2026 (behoben in 6.7.13.1 / 6.6.10.23): eine SQL-Injection in der Store API ohne vorherige Anmeldung, über die sich ein Admin-Konto übernehmen und PHP-Code ausführen ließ, ein kritischer Ausbruch aus der App-Script-Sandbox sowie ein Path Traversal bei Medien mit möglicher Codeausführung.
• Juni/Juli 2026 (behoben in 6.7.10.1 / 6.6.10.18): u. a. Übernahme von Admin-Konten über offengelegte Recovery-Hashes (CVE-2026-48009), Rechteausweitung über die Sync-API (CVE-2026-48008), Auslösen von Zahlungen für fremde Bestellungen (CVE-2026-48016) und Stored XSS über SVG-Uploads (CVE-2026-48015).
• März 2026 (behoben in 6.7.8.1 / 6.6.10.15): Abgriff von Bestelldaten ohne Login über die Store API (CVE-2026-31887) und mögliche Übernahme von App-Zugangsdaten (CVE-2026-31889).
• Noch offen: Am 13.10.2026 hat CERT/CC eine Lücke in Shopware 6.7 veröffentlicht (CVE-2026-104937, CVSS 8.1): Über hochgeladene HTML-Dateien kann ein Angreifer mit Upload-Rechten Admin-Sitzungen kapern und im schlimmsten Fall ein manipuliertes Plugin installieren. Laut CERT/CC gab es zum Zeitpunkt der Veröffentlichung noch keinen Fix. Bis dahin empfiehlt CERT/CC, Medien-Uploads auf vertrauenswürdige Rollen zu beschränken, HTML-Uploads zu unterbinden und die Rechte zur Erweiterungsverwaltung zu begrenzen.

Shopware 6.6

Alle oben genannten Lücken aus 2026 betreffen auch 6.6 unterhalb der jeweiligen Fix-Version. Dazu kommen ältere Lücken, z. B.:

• Blinde SQL-Injection in DAL-Aggregationen (CVE-2025-27892), betrifft bis 6.6.10.2
• Denial of Service über überlange Passwörter (CVE-2025-30151), behoben in 6.6.10.3
• Server-Side Template Injection in Twig (CVE-2024-42355, CVE-2024-42356), betrifft bis 6.6.5.0

Shopware 6.5

• Kritische blinde SQL-Injection (CVE-2024-22406), betrifft bis 6.5.7.3
• Sitzungsdaten im Cache bei 404-Seiten (CVE-2024-27917), betrifft 6.5.8.0 bis 6.5.8.6
• Twig-Template-Injection (CVE-2024-42355/42356), betrifft bis 6.5.8.12
• SQL-Injection in DAL-Aggregationen (CVE-2025-27892), behoben in 6.5.8.18

Die 2026 veröffentlichten Lücken betreffen laut Advisories alle Versionen unterhalb der 6.6-Fixstände – also auch 6.5. Korrekturen gibt es dort nur noch, soweit das Security-Plugin sie enthält, und auch das endet am 28.02.2027. Lücken in Symfony oder Twig deckt das Plugin grundsätzlich nicht ab.

Shopware 6.4

Neben allen neueren Lücken, die hier nicht mehr geschlossen werden, gibt es bekannte kritische Altlasten wie die Code-Injection über Twig-Views (CVE-2023-22731, betrifft bis 6.4.18.0). Seit Mai 2025 kommen keine Fixes mehr – jede neue Lücke bleibt offen.

• In der Administration: Unter Einstellungen › System › Shopware-Update siehst du deine installierte Version und verfügbare Updates.
• Von außen: Unser kostenloser Shopware-Check erkennt den Versionszweig (z. B. 6.6 oder 6.7) deines Shops.
• Per Kommandozeile: Mit Server-Zugang zeigt bin/console --version den installierten Stand.

• Du bist auf 6.7: Spiel Patches zeitnah ein – Sicherheitsreleases innerhalb weniger Tage. Prüfe die Upload- und Erweiterungsrechte deiner Admin-Benutzer.
• Du bist auf 6.6: Bring den Shop auf 6.6.10.30 und plane das Update auf 6.7, bevor Shopware 6.8 erscheint.
• Du bist auf 6.5: Starte das Update jetzt. Bis 28.02.2027 bleibt nicht mehr viel Zeit – hier liest du, was das Support-Ende bedeutet.
• Du bist auf 6.4 oder Shopware 5: Dein Shop bekommt keine Sicherheitsfixes mehr. Lass uns zeitnah über Update oder Migration sprechen.

Warum sich das lohnt, erklären wir ausführlich in Warum du deinen Shopware-Shop aktuell halten solltest.

Quellen (Stand 26. Oktober 2026): Shopware Changelog; Shopware Release Policy; Shopware Security Advisories (GitHub, Packagist); CERT/CC VU#157374; endoflife.date/shopware.

• Warum du deinen Shopware-Shop aktuell halten solltest
• Shopware 6.5 End of Life: Was das Support-Ende für deinen Shop bedeutet
• Shopware Update Service: So läuft ein sicheres Update ab