CVE-2026-54390: Kritisk fejl i JTL Shop
Kritisk sårbarhed i JTL Shop (CVE-2026-54390) lader angribere uden login læse databaseadgangskoder og installere en webshell. Opdatér straks.
Hvad er det?
CVE-2026-54390 er en fejl i webshoppen JTL Shop, hvor brugerinput sendes ubehandlet videre til skabelonmotoren Smarty, som genererer sidernes udseende. Fejlen kaldes server-side template injection og betyder, at en angriber kan skrive sin egen kode ind i den skabelon-syntaks, som Smarty tolker på serveren. Det giver mulighed for at læse følsomme værdier som databaseadgangskoder og krypteringsnøgler direkte fra serveren. På version 5.4.0 til 5.7.1 kan angriberen desuden bruge indbyggede Smarty-funktioner til at skrive en webshell, et skjult styringsprogram, ind i webserverens rodmappe og derved køre kommandoer som webserverens bruger.
Hvem rammer det?
Sårbarheden rammer JTL Shop version 5.2.0 til og med 5.7.1. Alle danske virksomheder, der driver webshop på JTL Shop i dette versionsinterval, er berørt, uanset om shoppen er hostet selv eller hos en driftsleverandør. Særligt version 5.4.0 til 5.7.1 er udsat for den fulde kæde med webshell og kommandokørsel.
Hvad kan ske?
En angriber kan uden login læse databaseadgangskoder og krypteringsnøgler, hvilket giver adgang til kundedata, ordrer og betalingsoplysninger. På de mest udsatte versioner kan angriberen også installere en webshell og få fuld kontrol over webserveren. Det kan betyde datalæk med krav om anmeldelse til Datatilsynet, nedlukning af shoppen og misbrug af serveren til videre angreb, for eksempel afsendelse af spam eller angreb på andre systemer.
Hvor alvorligt er det?
CVSS-scoren er 9,8 af 10, hvilket er kritisk. Angrebet kræver ingen login, ingen handling fra en bruger og er teknisk enkelt at udføre over internettet. Kombinationen af fuld læseadgang til fortrolige data, mulighed for at ændre data og risiko for nedbrud af systemet gør sårbarheden til en af de mest alvorlige typer, der findes.
Hvad gør jeg nu?
Følg punkterne nedenfor i den viste rækkefølge:
- Opdatér JTL Shop til nyeste version, hvor fejlen i Smarty-håndteringen er rettet. Kontrollér versionsnummeret mod jeres nuværende installation før opdatering.
- Skift alle databaseadgangskoder og krypteringsnøgler, der ligger i konfigurationsfiler, da de kan være kompromitteret allerede.
- Gennemgå webserverens rodmappe for uventede filer, der kan være en webshell, især hvis I kører version 5.4.0 til 5.7.1.
- Gennemgå logfiler for usædvanlige forespørgsler med skabelon-syntaks i URL’er eller formularfelter siden 18. juni 2026.
- Kontakt jeres driftsleverandør eller en sikkerhedsrådgiver, hvis I finder tegn på indbrud, eller hvis I ikke selv kan verificere, at opdateringen er gennemført korrekt.
Opdatér inden 24 timer
Vi anbefaler, at I opdaterer JTL Shop til nyeste version med det samme og efterfølgende skifter databaseadgangskoder og krypteringsnøgler, uanset om I har set tegn på misbrug. Det er kun forsvarligt at vente, hvis shoppen er fuldstændig afskærmet fra internettet, hvilket sjældent er tilfældet for en webshop. Er I i tvivl om, om systemet allerede er kompromitteret, bør I lade en sikkerhedsrådgiver gennemgå serveren, før I opdaterer.
Tidslinje
Konkrete eksempler
Webshop med utidig opdatering
En dansk detailvirksomhed driver sin webshop på JTL Shop version 5.6, uden at have opdateret i flere måneder. En angriber sender en forespørgsel med skabelon-syntaks til shoppens formular, læser databasens adgangskode og installerer en webshell i webserverens rodmappe. Herfra får angriberen adgang til kundedata og kan sende spam fra virksomhedens server, indtil det opdages ved et tilfælde af den daglige drift.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores JTL Shop-version er ramt?
Tjek versionsnummeret i administrationspanelet. Alle versioner fra 5.2.0 til og med 5.7.1 er berørt, mens 5.4.0 til 5.7.1 er mest udsat.
Kan vi vente til weekenden med at opdatere?
Nej. Sårbarheden kan udnyttes uden login og uden brugerinteraktion, så risikoen for angreb er den samme hver dag, indtil opdateringen er installeret.
Skal vi skifte adgangskoder, selv om vi ikke ser tegn på angreb?
Ja. Fejlen giver mulighed for at læse adgangskoder og krypteringsnøgler uden at efterlade tydelige spor, så I bør skifte dem uanset.
Skal vi anmelde det til Datatilsynet?
Hvis I finder tegn på, at kundedata er blevet læst eller ændret, skal I vurdere anmeldepligten efter databeskyttelsesreglerne. Vi anbefaler at inddrage en rådgiver til den vurdering.
Er sårbarheden allerede udnyttet i praksis?
Der er offentliggjort teknisk information om, hvordan fejlen kan udnyttes, men det er ikke bekræftet, hvor mange angreb der faktisk er gennemført.
Hvad hvis vi ikke selv driver serveren?
Kontakt jeres driftsleverandør og bed om bekræftelse på, at JTL Shop er opdateret og at der er tjekket for tegn på indbrud.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
JTL Shop versions 5.2.0 through 5.7.1 contains a server-side template injection vulnerability that allows unauthenticated attackers to inject malicious template syntax due to unsanitized user-supplied input passed to the Smarty template engine. Attackers can exploit this flaw to read sensitive server-side values such as database credentials and encryption keys, and on versions 5.4.0 through 5.7.1, leverage registered Smarty modifiers including unserialize and file_get_contents to write a webshell to the web root and execute arbitrary commands as the web server user.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.