Adobe Commerce: Unzureichende Eingabevalidierung führt zur Codeausführung

Zusammenfassung

Adobe Commerce, Adobe Commerce B2B und Magento Open Source enthalten eine unzureichende Eingabevalidierung (CWE-20). Ein Angreifer mit hohen Berechtigungen, etwa einem Administratorkonto, kann im Kontext des aktuellen Benutzers beliebigen Code ausführen, ohne dass eine Benutzerinteraktion nötig ist. Da der Scope verändert ist, kann die Auswirkung über die verwundbare Komponente hinausgehen; der CVSS-Score beträgt 9.1 (Kritisch). Die Lücke ist im Oktober-2026-Sicherheitsupdate von APSB26-153 behoben.

Betroffen

• Adobe Commerce 2.4.4 bis 2.4.9 (alle Builds mit der Kennzeichnung 2026-sep und früher)
• Adobe Commerce B2B 1.3.3, 1.3.4, 1.4.2, 1.5.2 und 1.5.3 (2026-sep und früher)
• Magento Open Source 2.4.7 bis 2.4.9 (2026-sep und früher) gemäss CNA-Eintrag; das Bulletin nennt zusätzlich 2.4.6, daher ist 2.4.6 als betroffen zu behandeln
• Gemäss CVE-Eintrag ist die CVE nicht auf einen engeren Versionsbereich als das Bulletin abgebildet.

Behoben in

• Adobe Commerce 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct, 2.4.6-2026-oct, 2.4.5-2026-oct, 2.4.4-2026-oct
• Adobe Commerce B2B 1.5.3-2026-oct, 1.5.2-2026-oct, 1.4.2-2026-oct, 1.3.4-2026-oct, 1.3.3-2026-oct
• Magento Open Source 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct; für Open Source wird kein behobenes 2.4.6-Release aufgeführt, daher auf 2.4.7 oder neuer wechseln
• Vorabversionen 2.4.10-alpha1 und 1.5.4-alpha1 sind nicht für den Produktivbetrieb geeignet
• Der Hotfix für CVE-2026-75650 ist nicht Teil der Oktober-Patchdatei und muss separat installiert werden

Umgehung

Unbekannt.

Ausnutzung

• Adobe erklärt, dass keine Ausnutzung in freier Wildbahn für ein Problem im APSB26-153-Bulletin bekannt ist; diese Aussage bezieht sich auf das gesamte Bulletin, nicht nur auf diese CVE.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Es wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle Adobe-Commerce-, B2B- und Magento-Open-Source-Installationen erfassen und Open-Source-Installationen mit Version 2.4.6 identifizieren.
• Den Oktober-2026-Patch und den separaten Hotfix für CVE-2026-75650 installieren und anschliessend Checkout- und Administrationsfunktionen testen.
• Multi-Faktor-Authentifizierung für alle Administratorkonten erzwingen, den Zugriff auf den Admin-Bereich nach Möglichkeit per IP einschränken und nicht benötigte Konten entfernen.
• Das gesamte Bulletin einspielen, nicht nur diese CVE: CVE-2026-103849 (CVSS 10.0) ist ohne Authentifizierung ausnutzbar.
• Adobe stuft das Bulletin als Priorität 2 ein; die Installation sollte innerhalb von etwa 30 Tagen nach Veröffentlichung erfolgen (bis Mitte November 2026).

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Adobe Security Bulletin APSB26-153 www.adobe.com
• Adobe KB ka-49323 (Isolated patch files) experienceleague.adobe.com
• Meetanshi: APSB26-153 security patches for Magento meetanshi.com
• CyberExperts: Adobe Commerce October 2026 cyberexperts.com
• Strix AI: CVE-2026-92464 www.strix.ai
• VulDB: CVE-2026-92464 vuldb.com
• Safeguard: APSB26-153 / CVE-2026-103849 safeguard.sh

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:44.