12 Versionszweige, ein Patch-Tag. Am 6. August 2026 hat Automattic ein Sicherheitsupdate für Stripe for WooCommerce veröffentlicht – und das betroffene Versionsfenster ist ungewöhnlich breit. Jede Installation zwischen 9.7.0 und 10.8.4 läuft mit mindestens einer bekannten Schwachstelle. Wer das offizielle Stripe-Gateway im Shop einsetzt, sollte heute noch die Versionsnummer im WordPress-Backend prüfen, nicht am Montag.
Zum Kalenderdatum kommt eine zweite Unbequemlichkeit: Es ist bereits das zweite Stripe-Sicherheitsupdate innerhalb von drei Wochen. Und die beiden haben nichts miteinander zu tun. Wer Mitte Juli brav auf 10.6.2, 10.7.1 oder 10.8.4 aktualisiert hat, ist damit nicht aus dem Schneider – diese Shops müssen erneut ran.
Was steckt hinter dem aktuellen Sicherheitsupdate?
Die offizielle Meldung bleibt bewusst vage, und das aus nachvollziehbarem Grund. Gefunden wurden die Schwachstellen nicht durch einen externen Angriff, sondern durch interne Sicherheitstests bei Automattic. Details veröffentlicht das Team erst, wenn ein Großteil der Shops gepatcht ist – vorher wäre die Beschreibung eine Bauanleitung für Angriffe auf ungeschützte Installationen.
Was Automattic konkret sagt, reicht für die Risikoeinschätzung trotzdem aus. Das schwerwiegendste Problem kann unter bestimmten Bedingungen dazu führen, dass ein betroffener Shop nicht mehr erreichbar ist. Kundendaten oder Zahlungsdaten lassen sich darüber nach jetzigem Stand nicht abgreifen. Es handelt sich also um ein Verfügbarkeitsrisiko, nicht um ein Datenschutzrisiko.
Klingt harmlos? Ist es nicht. Ein Checkout, der am Freitagmittag einer Kampagnenwoche ausfällt, kostet einen mittelständischen deutschen Händler schnell fünfstellige Umsätze – und das Vertrauen von Kunden, die beim zweiten Besuch zur Konkurrenz wandern. Dass keine Kreditkartendaten entwendet werden, ist eine gute Nachricht für die DSGVO-Dokumentation. Für die Umsatzplanung ändert sie nichts.
Warum reicht der Patch vom Juli nicht?
Weil er ein anderes Problem gelöst hat. Am 14. Juli 2026 hatte Automattic eine Sicherheitslücke in der Payment-Validierung geschlossen, die nur bei aktiviertem „Adaptive Pricing“ auftrat. Unter bestimmten Bedingungen konnte der von Stripe tatsächlich abgebuchte Betrag vom Bestellwert im WooCommerce-Backend abweichen. Gemeldet hatte die Lücke ein externer Sicherheitsforscher über HackerOne, geflickt wurde sie mit den Versionen 10.6.2, 10.7.1 und 10.8.4.
Damals ging es um Geld, das falsch fließt. Jetzt geht es um einen Shop, der komplett ausfallen kann. Zwei verschiedene Fehlerklassen, zwei verschiedene Patches – und genau hier droht der gefährlichste Fehler dieser Woche: Agenturen und Shopbetreiber, die im Backend eine vermeintlich aktuelle Version sehen und sich in falscher Sicherheit wiegen.
Wer im Juli auf 10.8.4 gegangen ist, hat Hausaufgaben gemacht – aber nur die halben. 10.8.4 gehört ausdrücklich zum betroffenen Versionsfenster des neuen Updates.
Welche Stripe-Version braucht welchen Patch?
Automattic hat die Fixes über zwölf Release-Lines zurückportiert, was in der WordPress-Welt alles andere als selbstverständlich ist. Die Empfehlung lautet klar: direkt auf 10.8.5 gehen. Muss ein Shop aus Kompatibilitätsgründen vorübergehend auf seinem Versionszweig bleiben, existiert für jeden Zweig ein eigener gepatchter Build:
- 10.8.x → 10.8.5
- 10.7.x → 10.7.2
- 10.6.x → 10.6.3
- 10.5.x → 10.5.4
- 10.0.x bis 10.4.x → jeweils eigene Patch-Builds (10.4.1, 10.3.2, 10.2.1, 10.1.1, 10.0.2)
- 9.9.x, 9.8.x und 9.7.x → 9.9.3, 9.8.2 beziehungsweise 9.7.2
Versionen vor 9.7.0 sind von diesem spezifischen Problem nicht betroffen – was niemand als Freibrief lesen sollte. Wer noch auf einem 8er-Stand fährt, betreibt ein Zahlungs-Plugin ohne Sicherheitsunterstützung und hat ohnehin ganz andere Baustellen.
Beachtenswert am Rand: Automattic koordiniert automatische Updates mit dem WordPress.org-Plugins-Team. Shops auf Automattic-Infrastruktur oder mit aktivierten Auto-Updates können bereits gepatcht sein. „Können“ ist hier das entscheidende Wort. Gerade deutsche Managed-Hosts wie Raidboxes oder Kinsta-Kunden mit individuellen Update-Policies sollten die installierte Version manuell verifizieren, statt sich auf den Rollout zu verlassen.
Wie gehen Agenturen und DACH-Händler jetzt am besten vor?
Für einen einzelnen Shop ist die Antwort trivial: Plugins-Menü öffnen, „WooCommerce Stripe Payment Gateway“ suchen, aktualisieren, Testbestellung durchführen. Fünf Minuten, fertig.
Spannend wird es für Agenturen, die dreißig, fünfzig oder zweihundert Kundenshops betreuen. Hier lohnt ein strukturierter Durchlauf statt Ad-hoc-Klickerei. Zuerst ein Inventar: Auf welchen Installationen läuft das offizielle Stripe-Gateway überhaupt, und in welcher Version? Gerade ältere Projekte aus der Zeit vor der HPOS-Umstellung hängen erfahrungsgemäß auf 9er-Ständen fest. Dann das Update selbst – idealerweise über ein Management-Tool wie ManageWP, MainWP oder die Werkzeuge des Hosters, damit nicht ein Shop im Kleingedruckten vergessen wird.
Anschließend der Schritt, den die Erfahrung aus vergangenen Payment-Patches gebietet: eine echte Testbestellung pro Shop. Nicht nur prüfen, ob das Stripe-Logo im Checkout erscheint, sondern eine Bestellung im Testmodus komplett durchspielen – Kreditkarte, SEPA-Lastschrift und Klarna, sofern aktiviert. Das Update ist klein, aber Payment-Plugins sind der sensibelste Punkt jeder WooCommerce-Installation. Ein Defekt dort fällt erst auf, wenn Umsatz fehlt.
Und wer Kunden betreut: Die Kommunikation nicht vergessen. Ein kurzes, sachliches Update an Shopbetreiber – „Sicherheitslücke geschlossen, Checkout getestet, keine Daten betroffen“ – wirkt professioneller als jedes Schweigen, das der Kunde später über die WooCommerce-News selbst entdeckt.
Achtung Verwechslungsgefahr: Nicht jedes Stripe-Plugin ist gemeint
Diese Woche macht eine alte WordPress-Krankheit wieder sichtbar: Namensgleichheit. Das aktuelle Advisory betrifft ausschließlich das offizielle Gateway von Automattic – im Plugin-Verzeichnis als „WooCommerce Stripe Payment Gateway“ beziehungsweise „Stripe for WooCommerce“ gelistet, mit Millionen aktiver Installationen.
Daneben existiert das Drittanbieter-Plugin „Payment Plugins for Stripe WooCommerce“ (Slug: woo-stripe-payment). Dieses Plugin hatte erst Ende Juli 2026 einen eigenen, öffentlich dokumentierten Fehler: Unsignierte Webhooks konnten unter der CVE-2026-12654 beliebige Bestellungen als bezahlt markieren; gefixt wurde das mit Version 4.0.8. Wer dieses Plugin einsetzt, hat eine komplett andere Patch-Historie – und wer verwechselt, welches der beiden im eigenen Shop läuft, aktualisiert womöglich das falsche und fühlt sich trotzdem sicher.
Der Blick ins Backend klärt das in Sekunden: Entwickler-Eintrag „WooCommerce“ beziehungsweise „Automattic“ bedeutet offizielles Gateway, Versionsfenster 9.7.0 bis 10.8.4 kritisch, Ziel 10.8.5.
Was der zweite Patch in drei Wochen über das Payment-Setup verrät
Zwei Sicherheitsmeldungen zu einem einzigen Plugin innerhalb von drei Wochen sind kein Skandal – sie sind der Normalzustand kritischer Infrastruktur. Stripe for WooCommerce sitzt an der empfindlichsten Stelle des Shops, und genau deshalb testet Automattic dort offenbar intensiver als je zuvor. Dass die aktuellen Lücken intern gefunden wurden, bevor jemand sie ausnutzte, spricht eher für als gegen das Plugin.
Was Händler daraus mitnehmen sollten, ist eine Prozessfrage. Payment-Plugins gehören auf die Liste der Komponenten, die innerhalb von 24 Stunden nach einem Advisory aktualisiert werden – nicht in den regulären monatlichen Wartungszyklus. Wer das organisatorisch nicht abbilden kann, sollte Auto-Updates zumindest für dieses eine Plugin aktivieren oder einen Hoster beziehungsweise Dienstleister wählen, der Security-Patches außer der Reihe einspielt. Der nächste Stripe-Patch kommt bestimmt. Die Frage ist nur, ob der Shop dann wieder fünf Minuten Arbeit oder einen Ausfall davon entfernt ist.