Adobe Commerce: Fehlende Autorisierung ermöglicht beliebige Codeausführung

Zusammenfassung

Adobe Commerce enthält eine Schwachstelle durch fehlerhafte Autorisierung (Incorrect Authorization, CWE-863), die im Sicherheitsupdate APSB26-153 behoben wird. Ein nicht angemeldeter Angreifer im Netzwerk kann die Schwachstelle ohne Benutzerinteraktion ausnutzen, um beliebigen Code im Kontext des aktuellen Benutzers auszuführen; der CVSS-3.1-Basiswert beträgt 9.8. Adobes Bulletin markiert diese CVE mit dem Hinweis B2B, während der CVE-Eintrag und Drittquellen Adobe Commerce, Commerce B2B und Magento Open Source nennen; der genaue Umfang muss daher im Bulletin von Adobe geprüft werden.

Betroffen

• Adobe Commerce 2.4.4 bis 2.4.9 (Builds mit Kennzeichnung 2026-sep und früher, gemäss Adobe-Bulletin)
• Adobe Commerce B2B 1.3.3 bis 1.5.3 (Builds mit Kennzeichnung 2026-sep und früher)
• Magento Open Source 2.4.6 bis 2.4.9 (Builds mit Kennzeichnung 2026-sep und früher)
• Hinweis zum Umfang: Adobes Bulletin markiert CVE-2026-92909 mit B2B; prüfen, ob nur das B2B-Modul betroffen ist

Behoben in

• Adobe Commerce: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct, 2.4.6-2026-oct, 2.4.5-2026-oct, 2.4.4-2026-oct
• Adobe Commerce B2B: 1.5.4-alpha1, 1.5.3-2026-oct, 1.5.2-2026-oct, 1.4.2-2026-oct, 1.3.4-2026-oct, 1.3.3-2026-oct
• Magento Open Source: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct
• Der Sicherheits-Hotfix vom September für CVE-2026-75650 (APSB26-146) muss installiert bleiben

Umgehung

Unbekannt.

• Es wurde kein Workaround des Herstellers identifiziert; als Lösung gibt Adobe das Einspielen des Updates an.
• Interimsmassnahme (nicht vom Hersteller): Zugriff auf Admin- und B2B-Bereiche nach Möglichkeit einschränken und Logs bis zum Patch auf ungewöhnliche Anfragen prüfen.

Ausnutzung

• Adobe ist keine Ausnutzung in freier Wildbahn für die Probleme in diesem Update bekannt.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• In den geprüften Quellen wurde kein öffentlicher Exploit und keine technische Detailbeschreibung gefunden; der CISA-KEV-Katalog wurde nicht geprüft.

Unsere Empfehlung

• Alle Adobe-Commerce-, B2B- und Magento-Open-Source-Installationen sowie deren genaue Versionen erfassen.
• Auf den Build vom Oktober 2026 für die eigene Release-Linie aktualisieren (bzw. 2.4.10-alpha1, sofern zutreffend) gemäss Adobe-Bulletin APSB26-153.
• Den Sicherheits-Hotfix vom September für CVE-2026-75650 installiert lassen.
• Zugriff auf Admin- und B2B-Bereiche nach Möglichkeit einschränken, Logs überwachen und regelmässig CISA KEV sowie Exploit-Listen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Adobe Security Bulletin APSB26-153 www.adobe.com
• Cyberexperts: Online stores on Adobe Commerce and Magento takeover bug cyberexperts.com
• Meetanshi: APSB26-153 security patches for Magento meetanshi.com
• Safeguard: APSB26-153 analysis safeguard.sh
• VulDB: CVE-2026-92909 vuldb.com
• Strix: CVE-2026-92909 www.strix.ai
• PRLog: APSB26-153 fixes 11 Adobe Commerce flaws www.prlog.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:23.