Shopware Release-Notes 2026: alle Versionen, Security-Fixes und was sie für deinen Shop bedeuten

Shopware veröffentlicht ein Minor-Release pro Monat und Patches nach Bedarf. Für Shopbetreiber heißt das: Etwa alle vier Wochen ändert sich etwas, dazu kommen Security-Releases, die nicht warten können – 2026 waren es bereits vier, zuletzt zwei innerhalb von drei Wochen. Diese Seite fasst zusammen, was in den Releases steckt, welche Versionen noch Support bekommen und was vor jedem Update zu prüfen ist. Wir pflegen sie mit jedem Release nach.

Aktuelle Linie ist Shopware 6.7, neueste Version 6.7.14.1 vom 16. September 2026 – ein Security-Release, das du nicht liegen lassen solltest. Parallel wird 6.6 als Extended-Support-Linie gepflegt (aktuell 6.6.10.25). Shopware 6.5 bekommt nur noch Security-Fixes und endet am 28. Februar 2027; Shopware 5 ist seit Juli 2024 ohne Support. Wer noch auf 6.5 oder älter läuft, findet den Weg auf unserer Seite zur Shopware 6 Migration.

Nur eine Woche nach dem Minor-Release 6.7.14.0 hat Shopware am 16. September nachgelegt: 6.7.14.1 und 6.6.10.25 schließen fünf Lücken. Die schwerste betrifft Webhooks (CVSS 9.6): Wer das Recht hat, Webhooks anzulegen, konnte damit die Event-ACLs aushebeln und Daten empfangen, die außerhalb seiner Berechtigung liegen – Kundendaten, Bestellungen, E-Mail-Inhalte bis hin zu Tokens für die Account-Wiederherstellung. Ohne Login ausnutzbar ist eine SQL-Injection in den Aggregationen der Store API (8.6), allerdings nur auf PHP vor 8.4 mit emulierten Prepared Statements. Dazu kommen zwei Wege zur Rechteausweitung im Admin (8.1 über Profil-Updates mit user_change_me, 6.5 über das Klonen von Benutzern mit user:create) und ein umgehbares Double-Opt-in im Newsletter (5.3).

Was zu tun ist: Auf 6.7.14.1 updaten, in der 6.6-Linie auf 6.6.10.25. Wer nicht sofort kann, schränkt webhook:create und user_change_me auf vertrauenswürdige Rollen ein, prüft die registrierten Webhooks auf unbekannte Ziele und setzt PDO::ATTR_EMULATE_PREPARES auf false beziehungsweise PHP auf 8.4.

Wenn du noch auf 6.5 läufst: Drei der fünf Lücken betreffen auch 6.5 und älter, einen Core-Patch gibt es dafür nicht – gepatcht wurden nur 6.6.10.25 und 6.7.14.1. Bleibt das Security-Plugin SwagPlatformSecurity, das die 6.5-Linie mit der 2.x-Version weiterhin abdeckt (3.x für 6.6, 4.x für 6.7). Prüfe dabei, ob die installierte Plugin-Version die September-Lücken schon enthält. Der Weg raus führt über die Shopware 6 Migration.

Newsletter prüfen: Das umgangene Double-Opt-in ist mehr als ein Schönheitsfehler. Anmeldungen, die in diesem Zeitraum ohne Bestätigung durchgingen, sind als Einwilligung nicht belastbar – der Nachweis nach Art. 7 DSGVO fehlt. Wer Newsletter versendet, sollte die Zugänge der letzten Wochen gegen die Bestätigungs-Logs abgleichen, bevor die nächste Kampagne rausgeht.

Frühere Security-Releases 2026: 6.7.13.1 (25. August, neun Fixes – darunter ein Sandbox-Escape in App-Scripts mit 9.6, eine Admin-Übernahme über den Passwort-Reset mit 9.3 und eine SQL-Injection in Custom Entities mit 9.1), 6.7.10.1 (19. Mai, Rechteausweitung über user:create, Stored XSS via SVG, SSRF über Media-Links) und 6.7.8.1 (11. März, Übernahme von App-Zugangsdaten, User-Enumeration im Store-API-Login).

Shopware liefert ein Major pro Jahr, ein Minor-Release in der Regel in der ersten Monatswoche und Patches nach Bedarf. Aktiv gepflegt wird immer nur das jeweils letzte Minor einer Linie. Danach durchläuft eine Version die Stufen Extended Support (ausgewählte Bugfixes und Security), Security-fixes-only (nur noch über das Security-Plugin) und End of Life.

• 6.7: aktuelle Linie, voll gepflegt.
• 6.6: Extended Support, verlängert bis 6.8 erscheint; Security-Fixes laut endoflife.date bis Februar 2028.
• 6.5: nur noch Security-Fixes, Ende am 28. Februar 2027.
• Shopware 5: seit Juli 2024 ohne Support.

Systemvoraussetzungen der 6.7-Linie: getestet mit PHP 8.2, 8.4 und 8.5, MySQL 8 oder MariaDB 11 (6.7.14 zusätzlich MySQL 9.7 und MariaDB 12), Node 22 oder 24, Redis 7, Elasticsearch ab 8.18 oder OpenSearch 2/3. Seit 6.7.7 basiert Shopware auf Symfony 7.4. Wer Hosting und Updates aus einer Hand will: Managed Shopware Hosting.

• Security-Release? Dann innerhalb von 48 Stunden updaten oder das Security-Plugin einspielen, alles andere kann warten.
• Plugin-Kompatibilität: Jede Extension gegen die Zielversion prüfen, im Store und beim Hersteller. Eigene Plugins gegen die Deprecations-Liste abgleichen.
• Staging zuerst: Update auf einer Kopie mit Produktivdaten testen, inklusive Checkout, Zahlarten, Schnittstellen zur Warenwirtschaft und Suche.
• Backup und Wartungsfenster: Datenbank und Dateien sichern, Update außerhalb der Hauptverkaufszeit, Rollback-Plan bereithalten.
• Nach dem Update: Indexierung und Cache prüfen, Fehler-Logs beobachten, Core Web Vitals messen, Bestellungen der ersten Stunden kontrollieren.

Für e-levator-Kunden übernehmen wir diese Schritte als Teil der Shopware-Flatrate: Jedes Release wird geprüft, auf Staging getestet und im abgestimmten Fenster eingespielt. Was ein Update sonst kostet, steht im Kosten-Ratgeber. Wer lokal testen will, setzt in wenigen Minuten eine Shopware-6-Testumgebung in Docker auf. In der Shopware Cloud (SaaS) spielt Shopware die Updates selbst ein; bei PaaS und Self-Hosting liegt jedes Release in deiner Verantwortung.