Adobe Commerce/Magento: Kritische Lücke wird aktiv ausgenutzt

Fehlerhafte Autorisierung Adobe-Commerce-Schwachstelle verschafft Zugriff auf sensible Daten

06.10.2026 Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

Eine Autorisierungssicherheitslücke in Adobe Commerce und Magento Open Source wird aktiv ausgenutzt. Angreifer brauchen weder Zugangsdaten noch Nutzerinteraktion. Adobe hat die Schwachstelle bereits im August geschlossen.

EUVD-2026-56844 / CVE-2026-71362 ist gefährlich, weil Angreifer ohne Anmeldung und ohne Zutun eines Nutzers über das Netzwerk die Berechtigungsprüfung umgehen und sich erweiterten Zugriff auf sensible Ressourcen verschaffen können.(Bild: © Oleksii - stock.adobe.com) — EUVD-2026-56844 / CVE-2026-71362 ist gefährlich, weil Angreifer ohne Anmeldung und ohne Zutun eines Nutzers über das Netzwerk die Berechtigungsprüfung umgehen und sich erweiterten Zugriff auf sensible Ressourcen verschaffen können.
(Bild: © Oleksii - stock.adobe.com)

Die US-Cybersicherheitsbehörde CISA hat am 24. September 2026 eine Schwachstelle in Adobe Commerce und Magento Open Source in ihren Katalog bekannter aktiv ausgenutzter Sicherheitslücken aufgenommen. EUVD-2026-56844 / CVE-2026-71362 (CVSS-Score 9.1, EPSS-Score^* 87.51) ermöglicht eine Rechteausweitung. Adobe hatte die Sicherheitslücke bereits am 11. August 2026 mit dem Sicherheitsupdate APSB26-92 behoben.

Adobe Commerce, früher Magento Commerce, ist eine E-Commerce-Plattform, mit der Unternehmen Onlineshops betreiben, Magento Open Source die quelloffene Variante der Software. Adobe Commerce B2B ergänzt die Plattform um Funktionen für den Handel zwischen Unternehmen.

Am zweiten und am vierten Dienstag jeden Monats wird es künftig Sicherheitsupdates von Adobe geben. (Bild: greenbutterfly - stock.adobe.com)

Erweiterter Zugriff ohne Anmeldung

Bei EUVD-2026-56844 / CVE-2026-71362 handelt es sich laut Adobe um eine fehlerhafte Autorisierung. Die Software prüft also nicht korrekt, ob ein Nutzer eine bestimmte Aktion ausführen oder auf eine Ressource zugreifen darf. Angreifer können sich dadurch erweiterte Zugriffsrechte auf sensible Ressourcen verschaffen. Dafür sind weder Zugangsdaten noch Administratorrechte erforderlich und laut Enisa ist auch keine Interaktion des Nutzers nötig. Welche konkreten Ressourcen Angreifer erreichen können, nennt Adobe nicht. Der CVSS-Vektor beschreibt einen Angriff über das Netzwerk mit geringer Komplexität.

Laut Adobe sind folgende Versionen betroffen:

Adobe Commerce: 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul, 2.4.5-2026-jul und 2.4.4-2026-jul sowie jeweils ältere Versionen

Adobe Commerce B2B: 1.5.3-2026-jul, 1.5.2-2026-jul, 1.4.2-2026-jul, 1.3.4-2026-jul und 1.3.3-2026-jul sowie jeweils ältere Versionen

Magento Open Source: 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul und 2.4.6-2026-jul sowie jeweils ältere Versionen

Ein manipuliertes CacheWarmer-Cookie ermöglicht unauthentifizierte Codeausführung auf Servern der Onlineshop-Software Magento 2. CISA bestätigt aktive Ausnutzung, Version 1.11.12 schließt die Lücke. (Bild: Gemini / KI-generiert)

Behoben ist die Schwachstelle in den jeweiligen August-Versionen, also etwa in Adobe Commerce 2.4.9-2026-aug, Adobe Commerce B2B 1.5.3-2026-aug und Magento Open Source 2.4.9-2026-aug. Betreiber sollten prüfen, ob ihre Installationen bereits aktualisiert sind, und das Update andernfalls einspielen.

In seinem Patch-Release schloss Adobe sechs weitere Sicherheitslücken, darunter die zwei XSS-Schwachstellen (Cross-Site Scripting) EUVD-2026-56848 / CVE-2026-48413 (CVSS-Score 8.7, EPSS-Score 0.70) und EUVD-2026-56850 / CVE-2026-48414 (CVSS-Score 7.7, EPSS-Score 0.33), die Adobe zufolge zur Ausführung von beliebigem Code führen können. Beide Schwachstellen setzen eine Anmeldung voraus. EUVD-2026-56849 / CVE-2026-48416 (CVSS-Score 7.5, EPSS-Score 0.83) ist auch ohne Anmeldung ausnutzbar. Die weiteren Schwachstellen sind:

EUVD-2026-56847 / CVE-2026-48415 (CVSS-Score 7.6, EPSS-Score 0.46)

EUVD-2026-56845 / CVE-2026-48411 (CVSS-Score 6.5 beziehungsweise 6.8 laut Adobe, EPSS-Score 0.63)

EUVD-2026-56846 / CVE-2026-48412 (CVSS-Score 2.7, EPSS-Score 0.56)

Cyberangreifer können über eine fehlerhafte Adobe Commerce REST API Sicherheitsprüfungen umgehen und so Kundenkonten übernehmen. (Bild: mpix-foto - stock.adobe.com)

Sprunghafter Anstieg der Ausnutzungswahrscheinlichkeit

Besorgniserregend an dieser Schwachstelle ist, dass der EPSS-Score knapp 88 Prozent beträgt (Stand 28. September). Interessant ist, dass diese Ausnutzungswahrscheinlichkeit am 24. September, als die CISA die Schwachstelle als ausgenutzt gemeldet hat, noch bei 2,34 Prozent lag. Über das Wochenende ist die Wahrscheinlichkeit, dass EUVD-2026-56844 / CVE-2026-71362 in den nächsten 30 Tagen für Angriffe genutzt wird, praktisch explodiert. Nutzer von Adobe Commerce und Magento Open Source sollten also dringend die Updates einspielen.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der entsprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Online-Shops unter Adobe Commerce werden aktuell vermehrt über eine Schwachstelle namens CosmicSting angegriffen. (Bild: Mymemo - stock.adobe.com)

(ID:50968124)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.