Zwölf Release-Linien auf einmal: Automattic hat am 6. August 2026 ein Sicherheitsupdate für Stripe for WooCommerce veröffentlicht, das praktisch jede Installation der letzten beiden Jahre betrifft. Wer das Payment-Plugin in einer Version zwischen 9.7.0 und 10.8.4 betreibt, muss handeln – und zwar auch dann, wenn er erst Mitte Juli den letzten Stripe-Patch eingespielt hat.
Die schwerwiegendste der geschlossenen Lücken kann einem Advisory des WooCommerce Developer Blogs zufolge unter bestimmten Bedingungen dazu führen, dass ein betroffener Shop nicht mehr erreichbar ist. Kundendaten oder Zahlungsdaten seien dagegen zu keinem Zeitpunkt gefährdet gewesen. Entdeckt wurden die Probleme durch interne Sicherheitstests bei Automattic; Hinweise auf reale Angriffe gibt es bislang nicht.
Welche Versionen von Stripe for WooCommerce sind betroffen?
Empfohlen wird der Sprung auf 10.8.5. Weil nicht jeder Shop kurzfristig auf die neueste Hauptversion wechseln kann oder will, stellt Automattic für jede betroffene Release-Linie einen eigenen gepatchten Build bereit:
- 10.8.x → 10.8.5, 10.7.x → 10.7.2, 10.6.x → 10.6.3, 10.5.x → 10.5.4
- 10.4.x → 10.4.1, 10.3.x → 10.3.2, 10.2.x → 10.2.1, 10.1.x → 10.1.1
- 10.0.x → 10.0.2, 9.9.x → 9.9.3, 9.8.x → 9.8.2, 9.7.x → 9.7.2
Installationen älter als 9.7.0 sind von diesem konkreten Problem nicht betroffen – allerdings sind das ohnehin veraltete Releases, die aus Supportgründen ebenfalls aktualisiert gehören.
Warum der Juli-Patch nicht ausreicht
Vorsicht bei einem verbreiteten Trugschluss: Das Update ist nicht identisch mit dem Payment-Validation-Patch vom 14. Juli 2026. Wer damals auf 10.6.2, 10.7.1 oder 10.8.4 aktualisiert hat, läuft weiterhin auf einer verwundbaren Version und muss erneut einspielen. Zwei sicherheitsrelevante Stripe-Updates binnen vier Wochen – das ist auch für WooCommerce-Verhältnisse ungewöhnlich dicht getaktet und spricht für die Schwere der Funde.
Technische Details zu den Lücken hält Automattic bewusst zurück, solange noch Shops ungepatcht sind. Ein nachvollziehbarer Schritt: Wer die Angriffsfläche zuerst dokumentiert, macht es Angreifern leicht.
Was Shopbetreiber jetzt konkret tun müssen
Automattic koordiniert die Ausspielung automatischer Updates mit dem WordPress.org-Plugins-Team. Shops auf Automattic-Infrastruktur oder mit aktivierten Auto-Updates haben den Patch möglicherweise schon erhalten. Blind vertrauen sollte darauf niemand. Drei Schritte, keine zehn Minuten:
Im WordPress-Backend unter „Plugins > Installierte Plugins“ nach „WooCommerce Stripe Payment Gateway“ beziehungsweise „Stripe for WooCommerce“ suchen und die Versionsnummer prüfen. Steht dort nicht 10.8.5 oder einer der oben genannten Branch-Builds, sofort aktualisieren. Anschließend den Checkout testen: mindestens eine Testbestellung mit Kreditkarte und – falls aktiv – mit einem Express-Checkout wie Apple Pay oder Google Pay durchführen und prüfen, ob die Zahlungsarten korrekt angezeigt werden.
Agenturen und Hoster mit mehreren Mandanten sollten die Version nicht per Klickstrecke, sondern zentral verifizieren, etwa per WP-CLI über alle Instanzen hinweg. Gerade bei Kunden-Shops mit deaktivierten Auto-Updates ist das der schnellste Weg zur vollständigen Übersicht.
Ein unerreichbarer Shop am Freitagabend kostet mehr als jedes Updatefenster am Dienstagmorgen.
Für deutsche Händler kommt ein Aspekt hinzu, den das Advisory nicht nennt: Stripe ist in vielen WooCommerce-Shops hierzulande das Rückgrat für Kreditkarte, SEPA-Lastschrift und Wallets. Ein Ausfall dieses Gateways trifft den Checkout also nicht am Rand, sondern in voller Breite. Wer mehrere Payment-Anbieter parallel betreibt – etwa PayPal als zweite Säule – federt ein solches Szenario ab; alle anderen sollten das Update nicht auf die nächste Wartungsrunde schieben, sondern heute einplanen.
Automattic kündigt an, das Advisory mit weiteren technischen Details zu ergänzen, sobald die meisten Shops gepatcht sind. Bis dahin gilt: Version prüfen, Update einspielen, Checkout testen – in dieser Reihenfolge.