IT SBIT Services
Schneeberger
DEEN
CVE-Tracker

Adobe Commerce: Template-Injection ermöglicht Remote Code Execution

CVE-2026-103849Kritisch 10.0Exploit öffentlich

← Alle Schwachstellen

Zusammenfassung

Adobe Commerce, Adobe Commerce B2B und Magento Open Source enthalten eine Template-Injection-Schwachstelle ohne Authentifizierung (CWE-1336, CVSS 10.0, kritisch). Gemäss CVE-Eintrag kann ein Angreifer beliebigen Code im Kontext des aktuellen Benutzers ausführen und dadurch erweiterte Rechte oder die Kontrolle über ein Konto oder eine Sitzung erlangen, ohne dass der Benutzer mitwirken muss. Adobe stuft das Bulletin als Priorität 2 ein und meldet keine bekannten Ausnutzungen in freier Wildbahn; ein öffentlicher Proof of Concept existiert jedoch. Das öffentliche Labor zeigt eine Directive-Injection über anonyme GraphQL-Anfragen, und die Befehlsausführung erfordert dort ein eigens gekennzeichnetes synthetisches Gadget.

Betroffen

  • Adobe Commerce: 2.4.4 bis 2.4.9-2026-sep und früher
  • Adobe Commerce B2B: 1.3.3, 1.3.4, 1.4.2, 1.5.2 und 1.5.3-2026-sep und früher
  • Magento Open Source: 2.4.6 bis 2.4.9-2026-sep und früher gemäss Adobe-Bulletin; der CVE-Eintrag nennt 2.4.7 bis 2.4.9-2026-sep. Den Bereich im Bulletin überprüfen.

Behoben in

  • Adobe Commerce: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct, 2.4.6-2026-oct, 2.4.5-2026-oct, 2.4.4-2026-oct
  • Adobe Commerce B2B: 1.5.4-alpha1, 1.5.3-2026-oct, 1.5.2-2026-oct, 1.4.2-2026-oct, 1.3.4-2026-oct, 1.3.3-2026-oct
  • Magento Open Source: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct; das Bulletin nennt keine korrigierte Version für 2.4.6
  • Voraussetzung: Hotfix vom September für CVE-2026-75650 (APSB26-146)

Umgehung

  • Vom Hersteller ist keine Workaround-Massnahme veröffentlicht.
  • Übergangsmassnahmen (eigene Einschätzung, keine Herstellervorgabe): Zugriff auf Administration und API einschränken, eine WAF vor dem Shop betreiben und angepasste E-Mail-Templates prüfen.

Ausnutzung

  • Adobe sind keine Ausnutzungen in freier Wildbahn für Probleme im Bulletin bekannt. Es wurde keine bestätigte Ausnutzung in freier Wildbahn gemeldet.
  • Ein öffentlicher Proof of Concept existiert. CISA-SSVC-Daten: Ausnutzung 'poc', automatisierbar ja, technische Auswirkung total.
  • Sansec erklärte, Angriffe seien noch nicht beobachtet worden, werde aber erwartet.

Unsere Empfehlung

  • Alle Installationen von Adobe Commerce, B2B und Magento Open Source erfassen, einschliesslich Staging-Systemen und von Agenturen betriebenen Shops.
  • Zuerst den Hotfix vom September für CVE-2026-75650 einspielen, danach das Oktober-Sicherheitsupdate beziehungsweise den isolierten Patch von Adobe und gegebenenfalls den B2B-Patch.
  • Das Update mit eigenen Erweiterungen und E-Mail-Templates in der Testumgebung prüfen und zügig ausrollen; angesichts des öffentlichen PoC und fehlender Login-Pflicht nicht die volle 30-Tage-Frist abwarten.
  • Installationen von Magento Open Source 2.4.6 auf eine unterstützte, korrigierte Release-Linie aktualisieren.
  • Logs auf ungewöhnliche GraphQL-Anfragen und unerwartete E-Mail-Inhalte prüfen und in der Zwischenzeit den Administrationszugriff einschränken.

Öffentliche Exploits

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

Quellen der Recherche

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:24.

Referenzen der NVD (2)

Quellen

Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:

Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.

Betroffen? Wir helfen.

Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.

Kontakt aufnehmenRSS-Feed