Adobe Commerce B2B: Fehlerhafte Autorisierung führt zu Umgehung von Sicherheitsfunktionen
Zusammenfassung
Adobe Commerce B2B enthält eine Schwachstelle durch fehlerhafte Autorisierung (CWE-863), die es einem authentifizierten Benutzer mit niedrigen Rechten erlaubt, Sicherheitsmassnahmen zu umgehen. Der Angreifer kann unautorisierten Lese- und Schreibzugriff erlangen und die Verfügbarkeit eingeschränkt beeinträchtigen. Es ist keine Benutzerinteraktion erforderlich, und Adobe stuft die Schwachstelle als hoch ein (CVSS 8.3).
Betroffen
- Adobe Commerce B2B 1.5.3-2026-sep und früher
- Adobe Commerce B2B 1.5.2-2026-sep und früher
- Adobe Commerce B2B 1.4.2-2026-sep und früher
- Adobe Commerce B2B 1.3.4-2026-sep und früher
- Adobe Commerce B2B 1.3.3-2026-sep und früher
- Standard Adobe Commerce und Magento Open Source sind im Bulletin für diese CVE nicht als betroffen aufgeführt; Versionen in der Herstellertabelle prüfen.
Behoben in
- Adobe Commerce B2B 1.5.3-2026-oct
- Adobe Commerce B2B 1.5.2-2026-oct
- Adobe Commerce B2B 1.4.2-2026-oct
- Adobe Commerce B2B 1.3.4-2026-oct
- Adobe Commerce B2B 1.3.3-2026-oct
- Genaue Build-Nummern: Unbekannt. Auf dem Adobe-Bulletin APSB26-153 prüfen. Die Alpha-Version 1.5.4-alpha1 ist kein produktiver Fix.
- Der September-Hotfix für CVE-2026-75650 muss installiert bleiben.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers veröffentlicht; Adobe empfiehlt das Einspielen des Updates.
Ausnutzung
- Adobe ist keine Ausnutzung dieser Schwachstelle in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Status im CISA-KEV-Katalog: Unbekannt, nicht verifiziert.
Unsere Empfehlung
- Adobe Commerce B2B im Rahmen des Oktober-2026-Patchzyklus auf die 2026-oct-Version des jeweiligen Zweigs aktualisieren.
- Den September-Hotfix für CVE-2026-75650 installiert lassen.
- CVE-2026-92909 (CVSS 9.8, ohne Authentifizierung, B2B) priorisieren, da diese Lücke dringender ist.
- Konten mit niedrigen Rechten und selbst registrierte B2B-Konten prüfen und B2B-Kontofunktionen bis zum Patch einschränken.
- Logs auf ungewöhnliche Zugriffe auf B2B-Kontodaten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-153 www.adobe.com
- Ontap: Adobe Commerce security update APSB26-153 www.ontapgroup.com
- Meetanshi: APSB26-153 security patches meetanshi.com
- EUVD record vulners.com
- Strix: CVE-2026-92908 www.strix.ai
- CyberExperts: Adobe Commerce cyberexperts.com
- Safeguard: APSB26-153 analysis safeguard.sh
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:51.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.