WooCommerce fordert Shops nach Sicherheitsfixes zum Update des Stripe Gateway auf 11.2.0 auf

Was WooCommerce im Stripe Gateway behoben hat

Am 11. November 2026 hat WooCommerce im WooCommerce-Entwicklerblog einen Sicherheitshinweis veröffentlicht. Darin bittet das Unternehmen alle, die einen Shop mit der Erweiterung WooCommerce Stripe Gateway (auch als Stripe for WooCommerce geführt) betreiben, hosten oder betreuen, auf Version 11.2.0 zu aktualisieren. Shops, die beim 11.1.x-Zweig bleiben müssen, sollten auf 11.1.2 wechseln.

Laut WooCommerce wurden die Lücken durch interne Scans von Automattic und durch eingegangene Meldungen gefunden. Die gravierendste konnte betrügerische Käufe ermöglichen. Es gibt keine Hinweise darauf, dass eine der Lücken ausgenutzt wurde. Der Hinweis beschreibt die einzelnen Schwachstellen nicht genauer.

Der Hinweis behandelt außerdem einen früheren Fehler in Version 10.9.0. Unter bestimmten Bedingungen wurde dabei das Passwort, das ein Kunde bei der Registrierung gewählt hatte, unverschlüsselt zusammen mit seiner Bestellung gespeichert. Version 10.9.1 hat das unterbunden, und ab 11.1.0 entfernt das Plugin diese gespeicherten Passwörter im Hintergrund.

Welche Shops handeln müssen

Jeder Shop, der Zahlungen über diese Erweiterung abwickelt, sollte aktualisieren. Betrügerische Käufe sind direkte Kosten für den Shop. WooCommerce hat die Fixes in beiden Zweigen bereitgestellt, damit Händler ihre Shops über das Jahresendgeschäft stabil halten können. Shops, die diese Erweiterung nicht nutzen, sind von diesem Hinweis nicht betroffen.

Der Passwortfehler betrifft weniger Shops. Er trat nur auf, wenn ein Shop Version 10.9.0 nutzte, den klassischen Checkout verwendete und dort die Express-Checkout-Buttons von Stripe anzeigte, und wenn Kunden ein Konto mit Passwort anlegten und mit Apple Pay oder Google Pay bezahlten. Diese Passwörter waren für Administratoren und Shop-Manager sichtbar, ebenso über Werkzeuge, die Bestelldaten zugänglich machen, etwa die REST API. WooCommerce kann nicht feststellen, ob jemand sie eingesehen hat. Die Bereinigung setzt keine Kundenpasswörter zurück. Wenn sie gespeicherte Daten entfernt, zeigt sie einen Hinweis im WordPress-Admin an und schickt eine E-Mail an den Administrator der Website.

Die Versionen 11.2.0 und 11.1.2 setzen beide WordPress 6.9 und WooCommerce 11.0 voraus. Bei älteren Websites müssen diese gegebenenfalls zuerst aktualisiert werden.

Was Sie jetzt prüfen sollten

WooCommerce empfiehlt, sofort zu aktualisieren und nicht auf das nächste reguläre Update-Fenster zu warten.

• Öffnen Sie im WordPress-Admin „Plugins“ und dann „Installierte Plugins“ und prüfen Sie die Version des Stripe Gateway – auch wenn automatische Updates aktiviert sind oder Ihr Hoster die Updates verwaltet.
• Aktualisieren Sie auf 11.2.0 oder neuer. Wenn Sie bei 11.1.x bleiben möchten, laden Sie 11.1.2 im Bereich „Previous Versions“ des Plugin-Verzeichnisses auf WordPress.org herunter und installieren Sie sie über die aktuelle Version.
• Wenn Ihr Shop die Bedingungen für 10.9.0 erfüllte, durchsuchen Sie Backups, exportierte Bestelldateien und alle Dienste, die Ihre Bestellungen an andere Orte kopieren, nach den gespeicherten Passwörtern. Erwägen Sie, betroffene Kunden um ein Zurücksetzen ihres Passworts zu bitten.
• Wenn Sie mehrere Shops betreuen, prüfen Sie jeden einzelnen, auch öffentlich erreichbare Staging- und Entwicklungsumgebungen.
• Wenn das Update fehlschlägt, wenden Sie sich mit der installierten Version und der angezeigten Fehlermeldung an den WooCommerce-Support.

Wenn ein Hoster oder Entwickler den Shop betreut, lassen Sie sich die installierte Version von ihm bestätigen und prüfen Sie, ob Ihr Wartungsvertrag Sicherheitsupdates wie dieses abdeckt. Die Leistung Laufender Support und Wartung von Cognivise übernimmt das Aktualisieren von Shops, wenn diese Aufgabe sonst niemandem klar zugeordnet ist.