Adobe Commerce: Unbeschränkter Datei-Upload führt zu Codeausführung

Zusammenfassung

Adobe Commerce, Adobe Commerce B2B, Magento Open Source und Adobe Commerce Events enthalten eine Schwachstelle vom Typ Unrestricted Upload of File with Dangerous Type (CWE-434). Ein Angreifer kann eine Datei mit einem gefährlichen Typ hochladen und beliebigen Code im Kontext des aktuellen Benutzers ausführen, was erweiterte Zugriffsrechte oder die Kontrolle über das Konto oder die Sitzung des Opfers ermöglichen kann. Laut Eintrag ist eine Benutzerinteraktion erforderlich, etwa der Aufruf einer präparierten URL oder einer kompromittierten Webseite, und der Scope ist geändert. CISA hat die Schwachstelle in den Katalog der bekanntermassen ausgenutzten Schwachstellen aufgenommen, und es wurden Angriffe auf Online-Shops gemeldet.

Betroffen

• Adobe Commerce: bis und mit 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15, 2.4.5-p17 und 2.4.4-p18
• Adobe Commerce B2B: bis und mit 1.5.3, 1.5.2-p5, 1.4.2-p10, 1.3.4-p17 und 1.3.3-p18
• Magento Open Source: bis und mit 2.4.9, 2.4.8-p5, 2.4.7-p10 und 2.4.6-p15
• Adobe Commerce Events: bis und mit 1.20.0

Behoben in

• Adobe Commerce: 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul, 2.4.5-2026-jul, 2.4.4-2026-jul
• Adobe Commerce B2B: 1.5.3-2026-jul, 1.5.2-2026-jul, 1.4.2-2026-jul, 1.3.4-2026-jul, 1.3.3-2026-jul
• Magento Open Source: 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul
• Adobe Commerce Events: 1.21.0

Die genauen Build-Bezeichnungen sind vor der Einführung im Advisory von Adobe zu prüfen. Isolierte Patches lassen sich möglicherweise nur auf einem bestimmten vorherigen Patch-Stand sauber einspielen.

Umgehung

Unbekannt. Adobe dokumentiert keine Umgehungslösung für ungepatchte Systeme.

• Gefundene Webshells und Backdoors entfernen und anschliessend patchen
• Datenbank-, Administrator- und API-Integrationszugangsdaten nach einem vermuteten Compromise rotieren
• CMS-Blöcke und Seiteninhalte auf eingeschleuste Skripte prüfen

Ausnutzung

• CISA führt die Schwachstelle als bekanntermassen ausgenutzt, aufgenommen am 27. Oktober 2026
• Sansec meldet eine JavaScript-Loader-Kampagne in den CMS-Blöcken von 953 Shops und schätzt ein, dass sie mit dieser Schwachstelle zusammenhängt
• Öffentlich verfügbarer Proof-of-Concept-Exploit: Unbekannt

Unsere Empfehlung

• Alle Instanzen von Adobe Commerce, B2B, Magento Open Source und Events sowie deren genaue Patch-Stände erfassen
• Umgehend den Build von Juli 2026 einspielen, der zur jeweiligen Installation passt
• War ein Shop vor dem Patch exponiert, eine Compromise-Prüfung durchführen (CMS-Inhalte, pub/media-Upload-Ordner, Administratorkonten, Backdoors) und Zugangsdaten rotieren, bevor der Shop als sauber gilt
• Das Advisory von Adobe sowie die Seiten von CISA und Sansec auf Updates überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  abraxas/CVE-2026-48356

Quellen der Recherche

• Adobe security bulletin APSB26-73 helpx.adobe.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• Sansec: Magento CMS block loader campaign (deepveindrilling.com) sansec.io
• Sansec: PolyShell mass attack wave sansec.io
• SentinelOne vulnerability database entry www.sentinelone.com
• Intruder CVE monitor entry cvemon.intruder.io
• Everyhost: Adobe Commerce security update APSB26-73 everyhost.co.uk
• GBHackers: Magento CMS blocks campaign gbhackers.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:31.