Adobe Commerce: Unzureichende Eingabevalidierung ermöglicht Codeausführung
Zusammenfassung
Adobe Commerce, Adobe Commerce B2B und Magento Open Source enthalten eine unzureichende Eingabevalidierung (CWE-20). Laut CVE-Eintrag kann ein authentifizierter Angreifer mit hohen Berechtigungen beliebigen Code im Kontext des aktuellen Benutzers ausführen, ohne dass eine Benutzerinteraktion nötig ist. Adobes Bulletin APSB26-153 beschreibt die Auswirkung dieser CVE als beliebiges Schreiben ins Dateisystem, weshalb die genaue Auswirkung noch nicht bestätigt ist.
Betroffen
- Adobe Commerce 2.4.4 bis 2.4.9 (2026-sep und früher)
- Adobe Commerce B2B 1.3.3 bis 1.5.3 (2026-sep und früher)
- Magento Open Source 2.4.7 bis 2.4.9 (2026-sep und früher)
Behoben in
- Adobe Commerce: 2.4.4-2026-oct, 2.4.5-2026-oct, 2.4.6-2026-oct, 2.4.7-2026-oct, 2.4.8-2026-oct, 2.4.9-2026-oct
- Adobe Commerce B2B: 1.3.3-2026-oct, 1.3.4-2026-oct, 1.4.2-2026-oct, 1.5.2-2026-oct, 1.5.3-2026-oct
- Magento Open Source: 2.4.7-2026-oct, 2.4.8-2026-oct, 2.4.9-2026-oct
- Alpha-Versionen (2.4.10-alpha1, 1.5.4-alpha1) sind keine Produktivkorrekturen.
Umgehung
Unbekannt.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn für die in APSB26-153 behandelten Probleme bekannt.
- Adobe bewertet die Ausnutzung dieser CVE laut CISA SSVC als nicht vorhanden und nicht automatisierbar.
- EPSS-Wert von etwa 0.0086.
Unsere Empfehlung
- Alle Installationen von Adobe Commerce, B2B und Magento Open Source sowie deren genaue Versionen erfassen.
- Das Release vom Oktober 2026 (2026-oct) gemäss Adobe-Bulletin APSB26-153 einspielen.
- Den Sicherheits-Hotfix für CVE-2026-75650 vom September weiterhin installiert lassen, wie in der Bulletin-Notiz von Adobe verlangt.
- CVE-2026-103849 (CVSS 10.0, keine Authentifizierung nötig), das im gleichen Bulletin enthalten ist, priorisieren.
- Admin-Zugriff einschränken, MFA erzwingen und Admin-Konten überprüfen.
- Auf Herstellerupdates achten, da die NVD-Analyse noch ausstehend war.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-153 www.adobe.com
- Meetanshi: APSB26-153 security patches for Magento meetanshi.com
- CyberExperts: Adobe Commerce update cyberexperts.com
- Vulners/Mend: CVE-2026-95631 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.