Am 19.05.2026 um 18:00 Uhr wurde von Shopware ein neues Sicherheitsupdate veröffentlicht: Shopware 6.7.10.1.
Es handelt sich hierbei nicht um ein großes Feature-Release, sondern um ein Security Patch, der Sicherheitslücken mit dem Bedrohungslevel "low" schließt. Dennoch empfiehlt Shopware, wie auch wir, das Update zeitnah einzuplanen.
Was wurde behoben? (Kurz & relevant)
- SVG-Dateien werden beim Upload strenger geprüft: SVG-Uploads im Medienbereich werden ab sofort gegen eine strikte Allowlist validiert, bevor sie gespeichert werden.
- Aktive Inhalte werden konsequent blockiert: Dazu gehören unter anderem Skripte, Event-Handler, externe Referenzen, URL-basierte Referenzen, Animationen oder "data:"-URLs.
- Sicherer SVG-Subset bleibt erlaubt: Standard-SVG-Strukturen, gängige Darstellungselemente sowie Accessibility-Attribute (ARIA, lang, xml:lang) bleiben weiterhin nutzbar.
Wichtiger Hinweis: Mögliche Auswirkungen auf Erweiterungen
Obwohl die Schwachstelle als gering eingestuft ist, kann diese Änderung in Einzelfällen zu Problemen führen. SVG-Dateien, die nicht dem neuen "passiven" Standard entsprechen, können nach dem Update abgelehnt werden – insbesondere dann, wenn Plugins oder individuelle Themes SVG-Dateien mit erweiterten Elementen verwenden.
Falls Ihr Projekt betroffen ist, gibt es zwei Möglichkeiten:
- SVG-Dateien vereinfachen (empfohlen)
- Allowlist in der Konfiguration anpassen (z. B. via
shopware.yaml)
Die Anpassung ist über folgende Parameter möglich:
shopware.media.svg.allowed_elementsshopware.media.svg.allowed_attributesshopware.media.svg.allowed_reference_attributes
Betroffene Versionen
Laut Shopware sind alle aktuellen Versionen betroffen - inklusive Shopware 6.7.10.0.
Zusätzlich wurde auch für die 6.6er Versionen ein entsprechendes Sicherheitsupdate veröffentlicht: 6.6.10.18.
Update nicht zwingend notwendig: Alternative per Sicherheits-Plugin
Gerade bei größeren Shop-Strukturen oder kritischen Betriebszeiten ist ein direktes Update nicht immer sofort sinnvoll. Shopware bietet hier eine offizielle Alternative an:
Shopware 6 Sicherheits-Plugin
Zum offiziellen Plugin im Shopware Store
Dieses Plugin bietet die gleiche Sicherheit und kann dabei helfen, Offlinezeiten zu minimieren, wenn ein direktes Versionsupdate aktuell nicht möglich ist.
Unser Service als Shopware Agentur
Wir von 8works beraten Sie gerne, welche Variante in Ihrem Fall die beste ist - direktes Update oder Absicherung über das offizielle Sicherheits-Plugin.
Selbstverständlich übernehmen wir auch die komplette Umsetzung inkl. Backup, Testumgebung, Plugin-Prüfung und sicherem Livegang.
