Warum sich manche WooCommerce-Erweiterungen jetzt selbst aktualisieren

Wenn in Ihrem WooCommerce-Shop eine Erweiterung plötzlich eine neue Version zeigt, obwohl Sie automatische Updates abgeschaltet haben, steckt seit Kurzem ein eingebauter Mechanismus dahinter und kein Fehler. WooCommerce kann seit Version 11.2.2 bestimmte Sicherheits-Releases für Erweiterungen aus dem eigenen Marketplace als „erforderlich“ markieren. Shops mit aktiver Verbindung zu WooCommerce.com installieren diese dann beim nächsten Update-Check von selbst, meist innerhalb eines Tages. Hintergrund ist ein Blogbeitrag, den WooCommerce-Entwickler Darren Ethier am 6. November 2026 auf dem WooCommerce Developer Blog veröffentlicht hat.

Was passiert ist

Seit Ende Mai hat Automattic die Sicherheitsarbeit an WooCommerce umgestellt. Im Juli lief eine KI-gestützte Prüfung über ein ganzes Jahr an Releases, im August folgte ein Tiefscan des gesamten WooCommerce-Monorepos mit rund 700 möglichen Fundstellen. Seit August laufen bei jedem Merge in den Hauptzweig automatisierte Scans mit Sprachmodellen; sie haben nach Angaben des Beitrags 34 sicherheitsrelevante Probleme gefunden, 18 davon als tatsächlich relevant eingestuft. Im Oktober kam die Teilnahme am Open-Source-Scanner-Programm von Anthropic dazu, mit rund 200 Fundstellen über alle Woo-Projekte, von denen laut Ethier die meisten als valide galten. Parallel sind die Meldungen über das Bug-Bounty-Programm HackerOne auf das Neunfache gestiegen, die meisten validen Fälle seit Juli fallen allerdings in die Kategorien Medium oder Low.

Aus dieser Umstellung stammt die neue Funktion: WooCommerce 11.2.2 war die erste Version, die ein Sicherheits-Release einer Marketplace-Erweiterung als Pflicht-Update ausgespielt hat. Der Shop muss dafür mit WooCommerce.com verbunden sein und ein aktives Abonnement für die betroffene Erweiterung haben. Ohne diese Verbindung passiert nichts — dann gilt weiterhin die normale Update-Einstellung.

Was das für Ihren Shop bedeutet

Für Erweiterungen aus dem Marketplace mit aktiver Verbindung ist das zunächst eine gute Nachricht: Eine kritische Lücke in einem Zahlungs- oder Checkout-Plugin wartet nicht mehr darauf, dass jemand das Update-Hinweisfeld im Backend bemerkt. Die Grenze der Funktion ist aber genauso wichtig wie ihr Nutzen. Sie greift ausschließlich bei Erweiterungen, die Sie über den WooCommerce-Marketplace bezogen haben und für die eine aktive Verbindung samt gültigem Abonnement besteht. Ein Theme, ein selbst geschriebenes Plugin, eine Erweiterung eines Drittanbieters außerhalb des Marketplace oder ein abgelaufenes Abonnement bleiben außen vor — dort trägt nach wie vor der Betreiber die Verantwortung, Sicherheits-Hinweise selbst zu verfolgen. Wer die Store-API im eigenen Shop stark erweitert hat oder viele Erweiterungen aus anderen Quellen einsetzt, bekommt durch diese Funktion also keine zusätzliche Absicherung.

Was jetzt zu tun ist

Eine Panik-Reaktion ist nicht nötig, ein kurzer Check in den nächsten Tagen schon:

• Unter WooCommerce → Erweiterungen prüfen, welche aktiven Erweiterungen aus dem Marketplace stammen und ob die Verbindung zu WooCommerce.com unter WooCommerce → Einstellungen → Erweiterungen noch aktiv ist.
• Abonnements kontrollieren: Ist eines abgelaufen, greift für diese Erweiterung kein Pflicht-Update mehr, egal wie dringend der Fehler ist.
• Für Theme, selbst entwickelte Funktionen und Erweiterungen außerhalb des Marketplace bleibt die bisherige Routine nötig — Changelogs lesen, Updates testen, nicht auf Automatik verlassen.
• Vor jedem Update, ob erzwungen oder von Hand, lohnt sich ein frisches Backup. Ist eine Staging-Umgebung vorhanden, testen Sie größere Versionswechsel dort zuerst, wie ich es auch bei WordPress-Updates grundsätzlich empfehle.

Dass auch ein Pflicht-Update einmal etwas durcheinanderbringt, ist nicht ausgeschlossen — Ende September hatte ein reguläres Update auf WooCommerce 11.2.0 selbst kurz den Checkout-Prozess gestört, behoben mit 11.2.1. Ein Blick in den Bestellverlauf nach jedem automatischen Update bleibt deshalb sinnvoll, Pflicht-Update oder nicht. Wer seinen Shop ohnehin regelmäßig technisch durchsehen lässt, kann das in die bestehende WordPress-Betreuung aufnehmen, statt eine eigene Routine dafür aufzubauen.

Quellen

WooCommerce Developer Blog: We went looking: what Woo has done about security since June

Kurz beantwortet

Muss ich die Pflicht-Updates irgendwo einschalten?

Nein. Die Funktion greift automatisch bei Marketplace-Erweiterungen mit aktiver Verbindung zu WooCommerce.com und aktivem Abonnement, ohne dass Sie etwas einstellen müssen.

Kann ich ein Pflicht-Update verhindern?

Laut dem Beitrag installieren verbundene Shops das als erforderlich markierte Sicherheits-Release beim nächsten Update-Check, auch wenn automatische Updates sonst deaktiviert sind. Eine separate Abschaltoption nennt der Beitrag nicht.

Betrifft das auch mein selbst entwickeltes Plugin?

Nein. Die Funktion gilt ausschließlich für Erweiterungen aus dem WooCommerce-Marketplace. Eigene Entwicklungen und Erweiterungen von Drittanbietern außerhalb des Marketplace aktualisieren Sie weiterhin selbst.

Sie möchten das Thema für Ihr Unternehmen umsetzen? Mehr zu unseren Leistungen: Webdesign, SEO, GEO & AEO.