Epeken für WooCommerce: Bestellungen unbefugt als bezahlt markierbar

Veröffentlicht am 15.08.2026

Stellen Sie sich vor, ein Fremder könnte in Ihrem Onlineshop eine Bestellung als „bezahlt" markieren – ohne dass jemals Geld geflossen ist. Genau dieses Szenario beschreibt eine neu gemeldete Sicherheitslücke im WooCommerce-Plugin Epeken All Kurir for WooCommerce. Angreifer benötigen dafür weder ein Benutzerkonto noch ein Passwort. Sie müssen sich nicht einmal in Ihrem Shop anmelden. Für Betreiber kleiner und mittlerer Onlineshops in Deutschland ist das ein Grund, jetzt genau hinzuschauen.

Die Schwachstelle wird unter der Kennung CVE-2026-16739 geführt – das ist die international eindeutige Nummer, unter der Sicherheitslücken katalogisiert werden. Sie betrifft alle Versionen des Plugins bis einschließlich 2.1.2 und wurde am 14. August 2026 vom Sicherheitsdienstleister FreshySites in einem Security-Bulletin veröffentlicht. Der Schweregrad wird mit einem CVSS-Wert von 5.9 als mittel eingestuft. CVSS ist ein standardisiertes Punktesystem von 0 bis 10, das die Gefährlichkeit einer Sicherheitslücke bewertet.

Was ist passiert?

Das Plugin Epeken All Kurir for WooCommerce dient in WooCommerce-Shops – dem populären Shop-System für WordPress – zur Anbindung an einen Kurier- beziehungsweise Versanddienstleister. Im Zuge dieser Anbindung verarbeitet das Plugin auch Vorgänge rund um die Zahlungsbestätigung von Bestellungen.

Genau an dieser Stelle liegt das Problem. Laut der Meldung enthält das Plugin bis einschließlich Version 2.1.2 eine Schwachstelle in der Zahlungsbestätigung. Nicht authentifizierte Angreifer – also Personen, die weder eingeloggt noch anderweitig berechtigt sind – können Anfragen an den Shop senden, die beliebige Bestellungen als bestätigt markieren. Und unter einer bestimmten, vom Standard abweichenden Konfiguration lassen sich Bestellungen sogar als bezahlt kennzeichnen.

Der Kern des Fehlers: Das Plugin prüft nicht ausreichend, ob eine Bestätigung tatsächlich vom rechtmäßigen Inhaber der Bestellung stammt – und ob wirklich eine Zahlung erfolgt ist. Das System vertraut der eingehenden Anfrage also blind, statt sie gegen die tatsächlichen Fakten zu prüfen. Diese fehlende Berechtigungs- und Plausibilitätsprüfung öffnet die Tür für Missbrauch.

Der technische Hintergrund – verständlich erklärt

Man kann sich das wie einen Türsteher vorstellen, der jede Person durchwinkt, die behauptet, eingeladen zu sein – ohne die Gästeliste zu prüfen. In der Fachsprache spricht man von einer fehlenden Autorisierungsprüfung. Das bedeutet: Der Server nimmt eine Anweisung entgegen (hier: „markiere diese Bestellung als bestätigt/bezahlt") und führt sie aus, ohne zu kontrollieren, ob der Absender überhaupt das Recht dazu hat.

In einem funktionierenden Bezahlprozess sollte eine Bestellung erst dann als bezahlt gelten, wenn der Zahlungsdienstleister – etwa ein Kreditkarten- oder Überweisungsanbieter – den Geldeingang bestätigt. Bei dieser Schwachstelle lässt sich dieser Kontrollschritt jedoch umgehen. Ein Angreifer kann eine entsprechend präparierte Anfrage an den Shop senden, und das Plugin ändert daraufhin den Status der Bestellung.

Zwei Stufen sind dabei zu unterscheiden:

• Bestellung als bestätigt markieren: Das ist in der Standardkonfiguration möglich und betrifft grundsätzlich jeden verwundbaren Shop.
• Bestellung als bezahlt markieren: Das ist laut Meldung nur unter einer nicht standardmäßigen Konfiguration möglich – also wenn bestimmte, vom Auslieferungszustand abweichende Einstellungen aktiv sind.

Gerade die zweite Stufe ist die wirtschaftlich brisante: Wird eine Bestellung fälschlich als bezahlt geführt, könnte im schlimmsten Fall Ware versendet werden, für die nie ein Zahlungseingang erfolgt ist.

Wer ist betroffen?

Betroffen sind Betreiber von WooCommerce-Shops, die das Plugin Epeken All Kurir for WooCommerce in einer Version bis einschließlich 2.1.2 installiert und aktiviert haben. Laut Meldung gibt es mindestens 400 aktive Installationen dieses Plugins.

Das ist im Vergleich zu großen Plugins eine überschaubare Zahl – aber für jeden einzelnen betroffenen Shop kann die Lücke konkrete finanzielle Folgen haben. Wenn Sie einen Onlineshop mit WooCommerce betreiben und diese Kurier-Anbindung nutzen, sollten Sie den folgenden Abschnitt besonders sorgfältig lesen.

So prüfen Sie, ob Sie betroffen sind

Sie müssen kein Technikexperte sein, um festzustellen, ob Ihr Shop verwundbar ist. Gehen Sie diese Schritte durch:

1. Loggen Sie sich in Ihr WordPress-Backend ein. Das ist der Administrationsbereich Ihrer Website, den Sie üblicherweise über ihre-domain.de/wp-admin erreichen.
2. Öffnen Sie den Menüpunkt „Plugins". Dort sehen Sie eine Liste aller installierten Erweiterungen.
3. Suchen Sie nach dem Eintrag „Epeken All Kurir for WooCommerce". Ist er nicht vorhanden, sind Sie von dieser konkreten Lücke nicht betroffen.
4. Prüfen Sie die installierte Versionsnummer. Sie steht direkt unter dem Plugin-Namen. Handelt es sich um Version 2.1.2 oder älter, ist Ihr Shop verwundbar.

Notieren Sie sich das Ergebnis. Falls das Plugin installiert und in einer betroffenen Version aktiv ist, sollten Sie unmittelbar handeln.

Das müssen Sie jetzt tun

In der vorliegenden Meldung wird kein bereits verfügbares Update genannt, das die Lücke behebt. Das bedeutet: Sie sollten sich nicht allein auf ein Update verlassen, sondern zunächst das Risiko aktiv begrenzen. Gehen Sie pragmatisch vor:

1. Prüfen Sie sofort auf ein verfügbares Update. Öffnen Sie in Ihrem WordPress-Backend den Bereich „Plugins" und sehen Sie nach, ob für Epeken All Kurir for WooCommerce eine neuere Version als 2.1.2 angeboten wird. Falls ja, installieren Sie diese umgehend – idealerweise nach einer vorherigen Sicherung.
2. Legen Sie zuerst ein vollständiges Backup an. Sichern Sie sowohl die Dateien als auch die Datenbank Ihres Shops, bevor Sie Änderungen vornehmen. So können Sie im Zweifel jederzeit zu einem funktionierenden Zustand zurückkehren.
3. Erwägen Sie, das Plugin vorübergehend zu deaktivieren. Solange keine korrigierte Version verfügbar ist und Sie die Funktion nicht zwingend benötigen, ist die Deaktivierung der sicherste Weg, die Lücke zu schließen. Ein deaktiviertes Plugin kann nicht ausgenutzt werden.
4. Überprüfen Sie Ihre Bestell-Konfiguration. Da das Markieren als „bezahlt" laut Meldung nur unter einer nicht standardmäßigen Konfiguration möglich ist, sollten Sie kontrollieren, ob Ihr Shop vom Standard abweichende Einstellungen verwendet. Im Zweifel ziehen Sie Ihre Agentur oder einen Dienstleister hinzu.
5. Kontrollieren Sie Ihre aktuellen Bestellungen. Sehen Sie Ihre Bestellliste durch – insbesondere Bestellungen mit dem Status „bezahlt" oder „bestätigt". Achten Sie auf ungewöhnliche Vorgänge: Bestellungen ohne zugeordneten Zahlungseingang, unplausible Zeitpunkte oder Bestellungen, denen kein realer Kunde zuzuordnen ist. Versenden Sie im Zweifel keine Ware, bevor Sie den Zahlungseingang manuell geprüft haben.
6. Behalten Sie den Zahlungsabgleich im Auge. Gleichen Sie in den kommenden Tagen die als bezahlt markierten Bestellungen mit den tatsächlichen Zahlungseingängen auf Ihrem Konto oder bei Ihrem Zahlungsdienstleister ab. So erkennen Sie, ob eine Bestellung fälschlich als bezahlt geführt wird.

Wird die Lücke bereits ausgenutzt?

Ob die Schwachstelle aktiv von Angreifern ausgenutzt wird, ist laut dem vorliegenden Material unbekannt. Das ist keine Entwarnung – es bedeutet lediglich, dass keine bestätigten Angriffe gemeldet wurden. Gerade bei Lücken, die keine Anmeldung erfordern und einen direkten wirtschaftlichen Vorteil bieten, ist Vorsicht geboten. Wer wartet, bis erste Angriffe dokumentiert sind, handelt oft zu spät.

Einordnung: Wie ernst ist das?

Mit einem CVSS-Wert von 5.9 liegt die Lücke im mittleren Bereich. Das relativiert sich jedoch, wenn man den möglichen praktischen Schaden betrachtet. Zwar erlaubt die Schwachstelle keine vollständige Übernahme des Servers oder den Abfluss großer Datenmengen. Der wirtschaftliche Kern ist aber unmittelbar spürbar: Bestellungen könnten ohne echten Zahlungseingang als bezahlt gelten.

Für einen kleinen Onlineshop kann das direkte finanzielle Folgen haben – etwa, wenn Ware versendet wird, für die kein Geld eingegangen ist. Hinzu kommt der Aufwand, Bestellungen manuell zu prüfen und fehlerhafte Statusänderungen zu bereinigen. Der mittlere Schweregrad sollte daher nicht zu Sorglosigkeit verleiten.

DSGVO-Relevanz

Aus dem vorliegenden Material geht nicht hervor, dass durch diese Schwachstelle personenbezogene Daten – etwa Kundendaten – abgeflossen sind oder abgeflossen sein könnten. Im Vordergrund steht die unbefugte Änderung des Bestell- und Zahlungsstatus, nicht der Datendiebstahl.

Dennoch gilt: Falls Sie im Zuge Ihrer Prüfung feststellen, dass unbefugte Zugriffe auf Ihren Shop stattgefunden haben und dabei personenbezogene Daten betroffen sein könnten, greifen die Melde- und Dokumentationspflichten der Datenschutz-Grundverordnung. Dokumentieren Sie in einem solchen Fall Ihre Feststellungen sorgfältig und lassen Sie im Zweifel fachlich prüfen, ob eine Meldung an die zuständige Aufsichtsbehörde erforderlich ist. Grundsätzlich empfiehlt es sich, sicherheitsrelevante Vorfälle intern zu protokollieren – auch dann, wenn zunächst keine Meldepflicht besteht.

Fazit

Die Schwachstelle CVE-2026-16739 im Plugin Epeken All Kurir for WooCommerce zeigt einmal mehr, wie ein einzelnes Plugin zum Einfallstor werden kann. Angreifer benötigen keine Anmeldung, um Bestellungen als bestätigt und unter bestimmten Einstellungen sogar als bezahlt zu markieren. Betroffen sind alle Versionen bis einschließlich 2.1.2, mindestens 400 Shops setzen das Plugin aktiv ein.

Die wichtigsten Schritte in Kürze: Prüfen Sie, ob das Plugin bei Ihnen installiert und in einer betroffenen Version aktiv ist. Legen Sie ein Backup an, spielen Sie ein Update ein, sobald es verfügbar ist, und ziehen Sie die vorübergehende Deaktivierung in Betracht, wenn die Funktion nicht zwingend gebraucht wird. Kontrollieren Sie Ihre Bestellungen auf ungewöhnliche Statusänderungen und gleichen Sie „bezahlt"-Meldungen mit den echten Zahlungseingängen ab.

Der Schweregrad ist mittel, aber die wirtschaftliche Konsequenz für einen kleinen Shop kann durchaus spürbar sein. Wer jetzt handelt, schließt die Lücke, bevor daraus ein realer Schaden wird. Behalten Sie die Herstellerseite und Ihr Plugin-Menü im Blick, damit Sie ein bereitgestelltes Sicherheitsupdate zeitnah einspielen können.

Quelle: Security-Bulletin von FreshySites vom 14. August 2026 zu CVE-2026-16739.