Adobe Commerce: Remote Code Execution durch Template-Engine-Injection

Zusammenfassung

Adobe Commerce, Adobe Commerce B2B und Magento Open Source enthalten eine Template-Engine-Injection-Schwachstelle (CWE-1336), die eine Ausführung beliebigen Codes im Kontext des aktuellen Benutzers erlaubt. Für den Angriff sind weder Authentifizierung noch Benutzerinteraktion nötig, und der Scope ist verändert (CVSS 10.0). Adobe bestätigt die aktive Ausnutzung in freier Wildbahn, und CISA hat die Schwachstelle in den Known Exploited Vulnerabilities Catalog aufgenommen.

Betroffen

• Adobe Commerce 2.4.4 bis 2.4.9 (gemäss Adobe-Bulletin APSB26-146, "2026-aug und früher")
• Adobe Commerce B2B 1.3.3 bis 1.5.3 ("2026-aug und früher")
• Magento Open Source 2.4.6 bis 2.4.9 (gemäss CVE-Eintrag; eine Sekundärquelle nennt 2.4.4 bis 2.4.9, daher die Tabelle im Bulletin prüfen)

Behoben in

• Adobe-Hotfix zu APSB26-146 (in Sekundärquellen als VULN-39341 bezeichnet; der CVE-Eintrag nennt einen Hotfix für CVE-2026-7565)
• Die Adobe-Wissensdatenbank listet den Hotfix als kompatibel mit 2.4.4 bis 2.4.7
• Unbekannt: Ein gefixter Release für 2.4.8 und 2.4.9 konnte aus den Quellen nicht bestätigt werden; vor einer Annahme bei Adobe nachfragen

Umgehung

• Unbekannt: Kein Workaround ersetzt den Hotfix
• Cloud-Kunden: Vor dem Einspielen des Hotfixes den in der Adobe-Wissensdatenbank beschriebenen Cron-Deaktivierungsschritt ausführen

Ausnutzung

• Adobe bestätigt, dass die Schwachstelle in freier Wildbahn ausgenutzt wird
• Die Ausnutzung soll am 4. September 2026 begonnen haben, also vor der Veröffentlichung des Hotfixes
• Berichteten Payloads zufolge kommen ein Rust-basiertes Linux-Backdoor und PHP-Web-Shells zum Einsatz
• Aufnahme in den CISA KEV am 08.09.2026 mit einer Frist für Bundesbehörden bis 11.09.2026
• Ein öffentliches IOC-Toolkit existiert auf GitHub; die Bezeichnung als PoC ist nicht verifiziert
• Bis 08.09.2026 gibt es keine öffentliche Zuordnung zu einem bestimmten Threat Actor

Unsere Empfehlung

• Alle Commerce-, B2B- und Magento-Open-Source-Instanzen mit exakter Version und Patch-Stand erfassen
• Den Hotfix zu APSB26-146 sofort einspielen und den gefixten Release für 2.4.8 und 2.4.9 bei Adobe bestätigen
• Auf Kompromittierung prüfen (Web-Shells, unbekannte Backdoors, unerwartete Dateien) und Logs seit dem 4. September 2026 auswerten
• Zugangsdaten rotieren, inklusive Admin-Konten und Zahlungsgateway-Schlüssel beim Anbieter; das Ändern des Verschlüsselungsschlüssels widerruft bereits gestohlene Zugangsdaten nicht
• Ein Patch beweist nicht, dass der Shop sauber ist; offengelegte Geheimnisse als kompromittiert behandeln

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (7 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  jithinkrishnanrs/stylesmuggler-ioc-toolkit · dinosn/cve-2026-75650-magento-validation-lab · disrex-group/stylesmuggler-adobe-patches · disrex-group/stylesmuggler-adobe-patches-mageos · fortbridge/stylesmuggler

Quellen der Recherche

• Adobe Security Bulletin APSB26-146 helpx.adobe.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• CISA KEV addition alert, 2026-09-08 www.cisa.gov
• Adobe Commerce Knowledge Base: APSB26-146 experienceleague.adobe.com
• Tenable: StyleSmuggler FAQ www.tenable.com
• The Hacker News: Adobe patches Magento zero-day thehackernews.com
• Akamai: CVE-2026-75650 StyleSmuggler analysis www.akamai.com
• SentinelOne vulnerability database: CVE-2026-75650 www.sentinelone.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:50.