Adobe-Hotfix: Magento-Shops bleiben kompromittiert

CISA hat CVE-2026-75650 am 8. September 2026 in den Katalog bekannter ausgenutzter Lücken aufgenommen. Adobe bestätigt Codeausführung ohne Anmeldung auf Adobe Commerce und Magento Open Source und lieferte am 7. September den Notfall-Hotfix APSB26-146. Der Patch räumt bestehende Kompromittierungen nicht auf. Der September-Release APSB26-138 ersetzt den Notfall-Fix nicht.

Verwandt: CISA listet Ray: Browser starten Cluster-Jobs ohne Login  ·  CRA-Meldepflicht startet: Frühwarnung binnen 24 Stunden

CISA nimmt CVE-2026-75650 in den KEV-Katalog auf

Die Cybersecurity and Infrastructure Security Agency (CISA) der Vereinigten Staaten hat am 8. September 2026 vier Schwachstellen in den Katalog bekannter ausgenutzter Lücken aufgenommen. Dieser Known Exploited Vulnerabilities Catalog (KEV) führt Schwachstellen, die Angreifer bereits ausnutzen. Eine der vier Neuaufnahmen ist CVE-2026-75650 in Adobe Commerce und Magento Open Source.

CISA beschreibt die Klasse als unsichere Neutralisierung von Sonderelementen in einer Template-Engine. Eine Template-Engine erzeugt aus Vorlagen die HTML-Seiten des Shops. Sonderelemente sind Steuerzeichen in solchen Vorlagen, die Code auslösen, wenn die Engine sie nicht unschädlich macht. Die Behörde veröffentlichte die Aufnahme in einer CISA-Meldung vom 8. September 2026.

Die Katalogzeile setzt als Date Added den 8. September 2026. Die Due Date liegt am 11. September 2026. US-Bundesbehörden müssen die Lücke in betroffenen Installationen bis zu diesem Datum schließen. CISA verlangt zusätzlich eine forensische Sichtung der betroffenen Installationen.

Ob die Ausnutzung mit Ransomware verbunden ist, stuft CISA als unbekannt ein. Die Frist bindet US-Bundesbehörden. Die technische Lücke betrifft Adobe Commerce und Magento Open Source in jedem Land gleich.

Adobe bestätigt unauthentifizierte Codeausführung im Shop

Adobe schreibt in der Knowledge Base, CVE-2026-75650 werde aktiv ausgenutzt und treffe Händler mit Adobe Commerce. Ein nicht angemeldeter Angreifer kann beliebigen Code auf einer betroffenen Installation ausführen, er startet also Programme auf dem Shop-Server, ohne sich anzumelden. Die Adobe Knowledge Base zu APSB26-146 nennt als letzte Änderung den 8. September 2026.

Was ist APSB26-146? Adobes Notfall-Hotfix vom 7. September 2026 gegen CVE-2026-75650, ausgeliefert als VULN-39341. Er ist zusätzlich zum September-Release APSB26-138 einzuspielen und beseitigt keine bestehende Kompromittierung.

Adobe veröffentlichte am 7. September 2026 den Notfall-Hotfix APSB26-146. Sansec datiert die Freigabe auf 20:20 UTC. Zwischen erster bestätigter Ausnutzung und diesem Patch lagen knapp drei Tage, in denen es für betroffene Shops keinen herstellereigenen Fix gab.

Adobe stuft APSB26-146 als Priority 1 ein, die höchste Stufe des Anbieters. Sansec übernimmt diese Einstufung. Tenable und Sansec bewerten die Lücke mit CVSS 10.0. 10.0 ist der Höchstwert der Skala. Beide Quellen beschreiben die Ausnutzung ohne Anmeldung.

Tenable ergänzt, der Scope sei changed. Die Ausnutzung kann danach Ressourcen außerhalb der verwundbaren Komponente treffen. Adobe bezeichnet das Update in der Knowledge Base als critical security update. Sansec führt die Bewertung in der StyleSmuggler-Analyse, Tenable in einem FAQ zu CVE-2026-75650. Das Adobe-Bulletin steht unter APSB26-146.

Adobe begrenzt die betroffenen Versionen auf die August-Stände 2026

Adobe listet in der Knowledge Base die August-Stände 2026 der betroffenen Produktlinien.

Der Notfall-Fix heißt Hotfix VULN-39341. Adobe stellt unter anderem die Datei VULN-39341-composer-patches.zip bereit und listet zusätzlich versionsbezogene Patch-Archive. Composer ist der PHP-Paketmanager, über den viele Magento-Installationen Updates einspielen. Adobe formuliert, Betreiber müssten den Patch je nach Version anwenden und die Encryption Keys rotieren.

StyleSmuggler trifft Shops knapp drei Tage ohne Vendor-Patch

Sansec bezeichnet die Kampagne als StyleSmuggler. Die erste bestätigte Ausnutzung datiert Sansec auf den 4. September 2026 um 22:20 UTC. Die Entdeckung setzt Sansec 20 Minuten später an, um 22:40 UTC. Zwischen Fund und Adobe-Hotfix am 7. September 2026 um 20:20 UTC lagen damit knapp drei Tage ohne Vendor-Patch.

Die Kampagne läuft laut Sansec in zwei Stufen über styles und eine Payment-Failed-Mail. Styles sind Stilvorlagen des Shops. Die Payment-Failed-Mail ist die Nachricht, die Magento nach einer fehlgeschlagenen Zahlung versendet. Sansec aktualisierte den Bericht am 7. September 2026 um 20:45 UTC.

Der Hotfix schließt die Lücke. Bestehende Kompromittierungen räumt er nicht. Eine Kompromittierung bedeutet hier: ein Angreifer hat den Shop bereits übernommen, Zugangsdaten gelesen oder Nachlader abgelegt. Ein nachträglich eingespielter Patch entfernt diese Spuren nicht.

Eine Opferzahl für deutsche Händler ist nicht bekannt. Tenable und die Incident-Response-Firma Disrex nennen mindestens zwei Stores, ohne ein Land anzugeben.

Ein zweiter Angreifer legt PHP-Nachlader unter pub/media

Sansec beschreibt am 7. September 2026 einen zweiten Angreifer. Dieser Angreifer nutzt einen PHP-Dropper und eine Webshell unter pub/media. Ein PHP-Dropper ist ein kleines Skript, das weitere Schadprogramme nachlädt. Eine Webshell ist ein nachgeladenes Skript zur Fernsteuerung des Servers.

pub/media ist das öffentlich erreichbare Medienverzeichnis einer Magento-Installation. Dateien dort kann der Webserver ausliefern. Eine Webshell an diesem Ort bleibt nach einem reinen Lücken-Patch erreichbar, solange niemand die Datei entfernt.

Die Angreifergruppe ist nicht bekannt.

Adobe verlangt Rotation von Encryption Key und Credentials

Nach dem Patch verlangt Adobe die Rotation des Encryption Key und aller Credentials an der Quelle. Der Encryption Key ist der Verschlüsselungsschlüssel der Magento-Installation, mit dem der Shop gespeicherte Geheimnisse schützt. Credentials sind Zugangsdaten zu Diensten, die der Shop nutzt. An der Quelle heißt: die Geheimnisse müssen dort gewechselt werden, wo sie ausgestellt wurden.

Adobe stellt klar, dass die Rotation des Encryption Key allein bereits gelesene Secrets nicht invalidiert. Ein Angreifer, der den Schlüssel oder abgeleitete Zugangsdaten während der knapp drei Tage ohne Vendor-Patch kopiert hat, besitzt diese Werte weiter. Ein neuer Schlüssel im Shop sperrt die alte Kopie auf Angreiferseite nicht.

Adobe knüpft die Behebung an zwei Handlungen desselben Betreibers: das Einspielen von VULN-39341 und die Rotation. Ein Shop, der nur den Hotfix einspielt, erfüllt diese Vorgabe von Adobe nicht.

„Adobe is aware that CVE-2026-75650 has been exploited in the wild targeting Adobe Commerce merchants.“

Adobe, Knowledge Base zu APSB26-146

APSB26-138 ersetzt den Hotfix VULN-39341 nicht

Adobe veröffentlichte am 8. September 2026 den September-Release APSB26-138 mit Priority 2. Priority 2 liegt unter der Priority 1 von APSB26-146. Adobe vermerkt, der Hotfix für CVE-2026-75650 sei zusätzlich zum September-Release einzuspielen.

APSB26-138 ersetzt VULN-39341 nicht. Adobe verlangt VULN-39341 zusätzlich. Ein Betreiber, der nur den Monatsstand vom 8. September 2026 einspielt, lässt CVE-2026-75650 offen.

Offen bleibt, ob Angreifer die hinterlegte Webshell, den PHP-Nachlader oder abgezogene Credentials bereits weitergegeben haben. CISA verlangt die forensische Sichtung und setzt die Due Date auf den 11. September 2026. Die CISA-Frist für US-Bundesbehörden endet am 11. September 2026. Ob Adobe den Hotfix in einen regulären Release übernimmt, ist offen.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Lesetipps der Redaktion

LesetippCISA listet Ray: Browser starten Cluster-Jobs ohne LoginLesetippCRA-Meldepflicht startet: Frühwarnung binnen 24 StundenLesetippFremde Befehle auf 8393 Gitea Servern möglich

Mehr aus dem MBF Media Netzwerk

Bildquelle: KI-generiert (September 2026)