LiteSpeed Cache: Sicherheitslücke legt Kundendaten im Shop offen, jetzt aktualisieren
Das Plugin LiteSpeed Cache kann bis Version 7.9.1 Warenkorb- und Kassendaten von WooCommerce als öffentliche Seite speichern. Fremde können dadurch ohne Anmeldung die Daten anderer Kunden lesen. Behoben ist das in Version 7.9.2, aktuell ist 7.9.3.
Wer betroffen ist
Websites mit WooCommerce und LiteSpeed Cache 7.9.1 oder älter, wenn das Caching der REST-API aktiv ist. Das ist die Standardeinstellung. Gefährdet sind Name, Adresse, E-Mail, Telefonnummer, Warenkorbinhalt und Daten der Einkaufssitzung. Websites ohne WooCommerce betrifft diese Lücke nicht, das Plugin sollten Sie trotzdem aktualisieren.
Was zu tun ist
- Aktualisieren. Öffnen Sie im Admin-Bereich Plugins und klicken Sie bei LiteSpeed Cache auf Aktualisieren. Machen Sie vorher ein Backup.
- Cache leeren. Öffnen Sie oben in der Leiste LiteSpeed Cache und klicken Sie auf Purge All. Sonst könnten alte gespeicherte Antworten bleiben.
- Version prüfen. Unter Plugins muss bei LiteSpeed Cache 7.9.2 oder höher stehen.
Wenn das Update nicht geht
Machen Sie ein Backup, schalten Sie unter LiteSpeed Cache → Cache → Cache die Option Cache REST API aus und klicken Sie dann auf Purge All. Alternativ deaktivieren Sie das Plugin vorübergehend. Die Website wird langsamer, die Kundendaten sind aber sicher.
Woran Sie einen Vorfall erkennen
Diese Lücke öffnet keinen Zugang zum Admin-Bereich, neue Administratoren oder fremde Dateien sind also nicht zu erwarten. Suchen Sie im Zugriffslog Ihres Hostings nach wiederholten Anfragen an /wp-json/wc/store/v1/cart und /wp-json/wc/store/v1/checkout von unbekannten Adressen. Verdächtig sind auch Änderungen an Bestellungen, die der Kunde nicht vorgenommen hat. Wenn Daten abgeflossen sind, behandeln Sie das als Datenschutzverletzung. Fremde Administratoren oder Weiterleitungen deuten auf ein anderes Problem hin und sollten geprüft werden.
Unsicher? Prüfen Sie Ihre Website im Website-Test oder schreiben Sie mir wegen eines Sicherheitschecks. Die Erstprüfung ist kostenlos.
Quelle: CVE-2026-93389, Wordfence.