Adobe Commerce: Fehlende Berechtigungsprüfung führt zu Rechteausweitung

Zusammenfassung

Adobe Commerce, Magento Open Source und Adobe Commerce B2B sind von einer fehlerhaften Berechtigungsprüfung (CWE-863) betroffen. Laut Analysen Dritter kann ein nicht authentifizierter Angreifer eine Kundensitzung auf ein anderes Kundenkonto umleiten, wodurch Kontodaten und private Kundendaten offengelegt werden können. Für den Angriff ist keine Benutzerinteraktion nötig. CISA hat die Schwachstelle in den Katalog der bekanntermassen ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) aufgenommen.

Betroffen

• Adobe Commerce: 0 bis 2.4.9-2026-jul, 2.4.8-2026-aug, 2.4.7-2026-aug, 2.4.6-2026-aug, 2.4.5-2026-aug, 2.4.4-2026-aug (gemäss offiziellem CVE-Eintrag; genaue Build-Bereiche in APSB26-92 prüfen)
• Adobe Commerce B2B: 0 bis 1.5.3-2026-jul, 1.5.2-2026-jul, 1.4.2-2026-jul, 1.3.4-2026-jul, 1.3.3-2026-jul
• Magento Open Source: 0 bis 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul

Behoben in

• Adobe Commerce: 2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug, 2.4.6-2026-aug, 2.4.5-2026-aug, 2.4.4-2026-aug
• Adobe Commerce B2B: 1.5.3-2026-aug, 1.5.2-2026-aug, 1.4.2-2026-aug, 1.3.4-2026-aug, 1.3.3-2026-aug
• Magento Open Source: 2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug, 2.4.6-2026-aug
• Die Behebung erfolgt über einen isolierten Patch gemäss Adobe-KB ka-40380; den zur exakten Version passenden Patch anwenden. Genaue Fix-Build-Nummern je Zweig: Unbekannt.

Umgehung

• Kein offizieller Workaround von Adobe bekannt. Die Anwendung des isolierten Patches ist die von Adobe genannte Massnahme.
• Sansec gibt an, dass Sansec Shield Ausnutzungsversuche blockiert; die Abdeckung ist nicht verifiziert.

Ausnutzung

• Bekanntermassen ausgenutzt: CISA hat die Schwachstelle am 24.09.2026 in den KEV-Katalog aufgenommen (Fälligkeitsdatum 27.09.2026).
• Security Affairs berichtete über Ausnutzung kurz nach der Offenlegung (13.08.2026); nicht unabhängig verifiziert.
• Adobe erklärte bei Veröffentlichung, keine Ausnutzung zu kennen; der aktuelle Status im Advisory ist nicht bestätigt.
• Öffentlicher Proof of Concept: Unbekannt.
• Nutzung bei Ransomware-Kampagnen: Unbekannt.

Unsere Empfehlung

• Dringend behandeln. Installierte Version von Adobe Commerce, B2B oder Magento Open Source bestätigen.
• Den isolierten Patch aus APSB26-92 für den exakten Zweig anwenden und zuerst auf einer Testumgebung prüfen.
• Zugriff auf das Admin-Backend auf bekannte IP-Adressen beschränken.
• Kürzliche Kundenanmeldungen, Sitzungsänderungen und nicht erklärbare Zugriffe auf Kundendaten prüfen.
• Prüfen, ob Kundendaten offengelegt wurden, und die Meldepflichten nach dem revidierten Schweizer DSG zusammen mit der Datenschutzberatung klären.
• Die Seite APSB26-92 auf Aktualisierungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (2 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  dinosn/cve-2026-71362-magento-lab · mahumadad/cve-2026-71362-magento-ato

Quellen der Recherche

• Adobe Security Bulletin APSB26-92 helpx.adobe.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• CISA KEV addition alert 2026-09-24 www.cisa.gov
• Adobe KB ka-40380 isolated patch experienceleague.adobe.com
• Sansec analysis of APSB26-92 sansec.io
• Iovista APSB26-92 blog www.iovista.com
• Rescana CVE-2026-71362 analysis www.rescana.com
• Strix CVE-2026-71362 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:56.