23 Tage. So viel Zeit verging zwischen dem Stripe-Sicherheitspatch vom 14. Juli und dem Advisory, das Brian Coords am 6. August 2026 auf developer.woocommerce.com veröffentlichte. Betroffen sind die Versionen 9.7.0 bis 10.8.4 — also praktisch jede WooCommerce-Installation mit Stripe-Anbindung, die in den letzten zwei Jahren auch nur einmal aktualisiert wurde. Wer brav auf 10.8.4 gepatcht hat, weil das Juli-Advisory es verlangte, darf jetzt noch einmal ran. Willkommen im neuen Normalzustand des E-Commerce.
Meine These ist unbequem, aber sie gehört an die Wand jeder Agentur und jedes Shop-Büros: Wer seinen Checkout nicht innerhalb von 24 Stunden patchen kann, betreibt keinen Onlineshop. Er betreibt ein Risiko mit Warenkorb-Funktion.
Die Beruhigungspille wirkt nicht mehr
Das Advisory liest sich wie ein Lehrstück in kontrollierter Panikvermeidung. Keine Beweise für Ausnutzung, keine Beweise für Datenzugriff, gefunden durch interne Tests. Alles richtig, alles ehrenwert. Aber der zentrale Satz steht da auch, in nüchternem Ingenieursenglisch:
„The most significant issue could, under certain circumstances, cause an affected store to become unavailable.“
Übersetzen wir das mal in die Sprache eines Händlers aus München oder Leipzig: Dein Laden kann zu sein. Nicht deine AGB-Seite, nicht dein Blog — dein Shop. An einem Black Friday, während einer TV-Werbeaktion, am Sonntagabend vor dem Zahltag. „Become unavailable“ ist das Euphemismus-Äquivalent zu „Umsatz gleich null“, und es betrifft ausgerechnet die Komponente, die bezahlt werden muss, damit alles andere Sinn ergibt: das Zahlungs-Gateway.
Bemerkenswert ist auch, was Coords über den Prozess verrät. Automattic koordiniert automatische Updates mit dem WordPress.org-Plugins-Team, Hoster auf Automattic-Infrastruktur haben den Patch vielleicht schon. Klingt fürsorglich. Ist aber gleichzeitig ein Eingeständnis: Der klassische Weg — Händler liest Advisory, loggt sich ein, klickt Update — ist zu langsam für die Realität von 2026. Die Plattformbetreiber wissen das. Nur viele ihrer Kunden wollen es nicht wissen.
Patch-Müdigkeit ist das eigentliche Risiko
Zwölf gepatchte Release-Linien, von 9.7.2 bis 10.8.5. Das ist eine beachtliche Backporting-Leistung von Automattic, keine Frage. Es ist aber auch die Landkarte eines Problems: Da draußen laufen Stripe-Gateways auf einem Dutzend verschiedener Stände, weil Agenturen Updates zurückhalten, weil Händler Wartungsverträge kündigten, weil irgendein Freelancer 2024 mal „kurz“ einen Shop gebaut und die Zugänge mitgenommen hat.
Genau diese Verteilung macht den zweiten Patch in 23 Tagen so gefährlich. Der erste Patch kostet Disziplin. Der zweite kostet Überzeugung. Ab dem dritten beginnt die Ermüdung — und Angreifer, die Advisories systematisch lesen, wissen das besser als jeder Händler. Coords schreibt selbst, man veröffentliche bewusst keine technischen Details, solange Shops noch aktualisieren, „because that information could make unpatched sites easier to target“. Das ist die höfliche Umschreibung dafür, dass das Zeitfenster zwischen Advisory und Exploit messbar in Tagen ist.
Was das für den DACH-Markt bedeutet
Deutschland ist WooCommerce-Land, ob das den Shopware-Evangelisten passt oder nicht. Tausende mittelständische Shops laufen auf dem Stack, betreut von Agenturen mit 30, 50, manchmal 80 Installationen gleichzeitig. Für diese Betreiber ist das Advisory kein Hinweis, sondern ein Arbeitsauftrag: Jede Installation einzeln prüfen, auch die mit aktivierten Auto-Updates — das Advisory sagt es explizit. Checkout testen. Version dokumentieren. Bei 50 Shops ist das ein kompletter Arbeitstag, zweimal in drei Wochen.
Wer diesen Aufwand nicht in seinen Wartungsvertrag eingepreist hat, subventioniert gerade das Sicherheitsrisiko seiner Kunden aus eigener Tasche. Und wer als Händler glaubt, mit einem 29-Euro-Wartungspauschale sei das Thema erledigt, sollte seinen Vertrag nach dem Wort „Sicherheitsupdate“ durchsuchen. Spoiler: Es steht selten drin.
Für Händler heißt das Konkretes. Erstens: Frag deinen Dienstleister heute, welche Stripe-Version auf deinem Shop läuft — nicht nächste Woche. Wenn er es nicht in fünf Minuten beantworten kann, hast du ein zweites Problem. Zweitens: Ein Checkout-Test gehört nach jedem Zahlungs-Plugin-Update zur Pflicht, nicht zur Kür. Drittens, und das wird wehtun: Ein Shop ohne verbindlichen Update-Prozess mit Reaktionszeit unter 24 Stunden ist im Jahr 2026 nicht „günstig betreut“, sondern unversichert unterwegs.
Automattic macht mit koordinierten Releases und Auto-Updates vor, wie die Zukunft aussieht: Die Plattform patcht, der Händler verifiziert. Das wird kommen, und es wird gut sein. Bis dahin gilt eine altmodische Regel, die nie in einem Advisory steht, aber jedes Advisory unterschreibt: Der Checkout ist die Stelle, an der aus Besuchern Umsatz wird. Wer sie nicht unter Kontrolle hat, hat gar nichts unter Kontrolle.
Also, eine einfache Frage zum Schluss: Wie viele Stunden braucht dein Shop gerade — heute, an einem normalen Werktag — vom Advisory bis zum verifizierten Patch? Wenn du die Antwort nicht kennst, ist sie zu hoch.