LiteSpeed Cache lieferte Warenkorb und Kasse fremder Kunden aus: Was WooCommerce-Betreiber jetzt prüfen müssen

Wer einen WooCommerce-Shop mit dem Plugin LiteSpeed Cache betreibt, hat bis Version 7.9.1 unter Umständen die Warenkorb- und Kassendaten seiner Kunden an jeden Besucher ausgeliefert: Name, Firma, Anschrift, E-Mail-Adresse, Telefonnummer, Warenkorb, Summen und die Sitzungskennung, mit der sich die Kasse eines anderen Käufers übernehmen lässt. Ein Konto brauchte der Angreifer nicht. Wordfence hat die Lücke als CVE-2026-93389 gemeldet, LiteSpeed hat sie am 4. November 2026 bestätigt, die US-Datenbank NVD führt sie seit dem 5. November mit 8,2 von 10 Punkten. Behoben ist der Fehler seit Version 7.9.2, aktuell ist 7.9.3 vom 3. November. Das Update ist der erste Schritt. Der zweite ist das Leeren des Caches, und den erledigt das Plugin in der Werkseinstellung nicht von selbst.

Was passiert ist

LiteSpeed Cache läuft auf über sieben Millionen WordPress-Installationen, wirkt auf Servern mit LiteSpeed-Webserver oder über das CDN QUIC.cloud und ist bei vielen Hostern vorinstalliert. Die Option „Cache REST API“ unter Cache → Cache ist ab Werk eingeschaltet, auch in 7.9.3 noch. Sie legt die Antworten der WooCommerce Store API in den Cache, darunter /wp-json/wc/store/v1/cart und /wp-json/wc/store/v1/checkout. Über diese Schnittstelle laden Block-Warenkorb, Block-Kasse und Mini-Warenkorb im Hintergrund ihre Daten.

Laut der NVD-Beschreibung von Wordfence speicherte das Plugin diese Antworten als öffentliche Cache-Objekte, ohne das Cart-Token oder die WooCommerce-Sitzung als Unterscheidungsmerkmal zu berücksichtigen. Sobald ein Käufer Warenkorb oder Kasse benutzt hatte, lag seine persönliche Antwort im Cache, und der nächste Aufruf derselben Adresse, ohne Cookie und ohne Token, bekam sie als Cache-Treffer. Darin standen Rechnungs- und Lieferadresse, der Warenkorb mit Summen, das Cart-Token samt Nonce, mit dem sich die Sitzung dieses Käufers fortführen lässt, und auf der Kassen-Adresse zusätzlich der Bestellschlüssel, mit dem WooCommerce die Bestellbestätigung freigibt. Im Changelog zu 7.9.2 steht die Korrektur knapp als „protected unvaried cart responses“.

Die Zeitleiste von LiteSpeed: Wordfence meldete den Fehler am 17. September 2026, Version 7.9.2 erschien am 19. Oktober im WordPress-Verzeichnis, öffentlich wurde die Lücke am 4. November. Angriffe sind nicht bekannt geworden. Es brauchte allerdings keinen Angreifer: Der Fehler zeigte die Daten jedem, der zur falschen Zeit die Kasse öffnete.

Was das für Ihren Shop bedeutet

Betroffen sind Shops, bei denen drei Dinge zusammenkommen: LiteSpeed Cache bis 7.9.1, die Option „Cache REST API“ eingeschaltet und ein Warenkorb oder eine Kasse, die mindestens ein Kunde benutzt hat. Die Warenkorb- und Kassenseiten selbst nimmt das Plugin vom Caching aus; der Weg führte über die Schnittstelle dahinter. Wer einen klassischen Shortcode-Warenkorb ohne Blöcke betreibt, hat die Store API seltener im Spiel, sollte die Prüfung unten aber trotzdem machen, weil Themes und Plugins sie ebenfalls aufrufen.

Aus Datenschutzsicht ist das eine mögliche Verletzung des Schutzes personenbezogener Daten. Ob eine Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO nötig ist, hängt davon ab, ob tatsächlich fremde Daten ausgeliefert wurden; das klären Sie mit Ihrem Datenschutzbeauftragten oder einem Anwalt, nicht mit dem Changelog. Stand dieser Einordnung ist der 5. November 2026.

Was jetzt zu tun ist

1. Version prüfen und aktualisieren. Unter Plugins → Installierte Plugins steht die Version. Alles unter 7.9.2 ist betroffen. Bei Hostern, die das Plugin selbst pflegen, nachsehen statt annehmen.
2. Cache von Hand leeren. Das Update ändert, wie neue Antworten gespeichert werden; bereits gespeicherte Antworten mit Kundendaten bleiben liegen, bis sie ablaufen oder gelöscht werden. Die Einstellung „Purge All On Upgrade“ unter Cache → Purge ist ab Werk ausgeschaltet, das Update leert den Cache also nicht. Unter LiteSpeed Cache → Toolbox → Purge den Punkt „Purge All“ ausführen.
3. Nachmessen. In einem privaten Browserfenster ohne Cookies https://ihr-shop.de/wp-json/wc/store/v1/cart aufrufen. Die Antwort muss einen leeren Warenkorb zeigen, und der Antwortkopf x-litespeed-cache darf nicht „hit“ melden. Steht dort ein fremder Warenkorb, ist der Cache noch nicht geleert.
4. Zwischenlösung, wenn Sie nicht sofort aktualisieren können. Unter Cache → Cache die Option „Cache REST API“ ausschalten und den Cache leeren. Der Rest der Website bleibt gecacht.
5. Protokolle ansehen. Das Zugriffsprotokoll zeigt, ob /wp-json/wc/store/v1/cart und /checkout gehäuft von einzelnen Adressen oder von Clients ohne Cookies abgerufen wurden. Ein Beweis ist das nicht, weil dort nicht steht, ob die Antwort aus dem Cache kam. Mehr Grundlage für die Einschätzung haben Sie aber nicht.

In den Shops, die ich betreue, war „Cache REST API“ schon vor diesem Fall aus, weil personalisierte Schnittstellen nichts im öffentlichen Cache zu suchen haben. Wie Warenkorb, Sitzungen und Cache in WooCommerce zusammenspielen, steht im Beitrag über langsame WooCommerce-Shops, was ein Hoster bei Managed-Paketen absichern kann, im Beitrag zu Managed WordPress. Alle Meldungen dieser Art führe ich im Sicherheitsticker.

Quellen

LiteSpeed Technologies: Security Update for LSCWP (CVE-2026-93389) (04.11.2026), NVD: CVE-2026-93389 (05.11.2026), wordpress.org: LiteSpeed Cache Changelog (7.9.3 vom 03.11.2026).

Kurz beantwortet

Reicht das Plugin-Update?

Nein. Es verhindert neue Fehlspeicherungen, gespeicherte Antworten mit Kundendaten bleiben bis zum Leeren des Caches abrufbar. Nach dem Update „Purge All“ ausführen und die Cart-Adresse nachmessen.

Ich nutze LiteSpeed Cache, habe aber keinen Shop. Bin ich betroffen?

Nein. Die Lücke betrifft nur die Store-API-Antworten von WooCommerce. Aktualisieren sollten Sie trotzdem, 7.9.2 schließt weitere Fehler.

Muss ich meine Kunden informieren?

Das hängt davon ab, ob fremde Daten tatsächlich ausgeliefert wurden und welches Risiko daraus entsteht. Dokumentieren Sie Version, Einstellung und Zeitpunkt des Updates und klären Sie die Meldepflicht mit Ihrem Datenschutzbeauftragten oder Anwalt.