Magento-Schwachstelle mit CVSS 10 erfordert Hotfix und Austausch von Zugangsdaten

Adobe veröffentlichte APSB26-146 am 7. September 2026 und behebt damit CVE-2026-75650, eine kritische Schwachstelle für nicht authentifizierte Remotecodeausführung in Adobe Commerce, Adobe Commerce B2B und Magento Open Source, die die Sicherheitsforscher von Sansec „StyleSmuggler“ getauft haben. Der Bug erreicht den maximalen CVSS-Score von 10,0. Die CISA nahm ihn am 8. September in ihren Katalog bekannter ausgenutzter Schwachstellen auf; die Frist für Bundesbehörden zur Behebung endete am 11. September und ist inzwischen verstrichen.

Betroffene Versionen und aktuelle Lage

Die Schwachstelle betrifft Commerce und Magento Open Source in den Versionen 2.4.4 bis 2.4.9, einschließlich aller Patch-Releases bis einschließlich der monatlichen Veröffentlichung vom August 2026, sowie Commerce B2B 1.3.3 bis 1.5.3. Sansec meldete die erste bestätigte Ausnutzung am 4. September, noch bevor der Patch von Adobe veröffentlicht wurde, und hat Kompromittierungsindikatoren veröffentlicht, darunter unerwartete Häufungen von „Payment Transaction Failed“-Benachrichtigungen, Prozesse, die als fc-cache, chronyd oder kworker getarnt sind, unbekannte Cron-Einträge und unerwartete PHP-Dateien unter pub/media.

Warum der Hotfix allein nicht genügt

Das Einspielen des Hotfix VULN-39341 schließt den Weg für die Codeausführung, doch Adobe selbst stellt ausdrücklich klar, dass er bereits erfolgte Offenlegungen nicht rückgängig macht. Die verwundbare Template-Engine liegt nahe am Verschlüsselungsschlüssel, der Integrationstoken, Zugangsdaten für Zahlungsgateways und systemprivilegierte Automatisierungstoken schützt. Wenn ein Angreifer diesen Schlüssel vor dem Einspielen des Hotfix erreicht hat, ist der Austausch des Schlüssels – und aller Zugangsdaten, die er offengelegt haben könnte – der einzige Weg, den Vorfall abzuschließen.

So sieht eine vollständige Behebung aus

• Prüfen, ob Hotfix VULN-39341 tatsächlich eingespielt ist – die Versionsangabe allein ist kein Beleg.
• Verschlüsselungsschlüssel gemäß dem Rotationsverfahren von Adobe Experience League austauschen.
• Admin-, Integrations-, OAuth-, Zahlungs-, Datenbank-, SSH- und Erweiterungszugangsdaten austauschen, die dieser Schlüssel geschützt haben könnte.
• Server-Cronjobs und laufende Prozesse auf die von Sansec veröffentlichten Indikatoren überprüfen.
• Abschluss erst erneut bestätigen, wenn der Schlüsselaustausch verifiziert ist, nicht schon nach der Hotfix-Installation.

Angesichts der aktiven Ausnutzung vor der Verfügbarkeit des Patches sollten alle Händler, die spät gepatcht haben, von einer möglichen Kompromittierung ausgehen, bis die Protokollprüfung etwas anderes ergibt.

Quellen: Adobe APSB26-146, Adobe Experience League.