linux-server-admin.de
Zurück zum Blog
Sicherheit31. Oktober 2026Michael Hettwer5 min read

Magento-Sicherheitsupdates: Zero-Day & Oktober-Bulletin

Adobe hat drei Magento-Sicherheitsupdates in fünf Wochen veröffentlicht. CVEs, Patch-Stände, Hotfix-Schritte und Credential-Rotation im Überblick.

Innerhalb von fünf Wochen hat Adobe drei Sicherheitsupdates für Adobe Commerce und Magento Open Source veröffentlicht: einen ausgenutzten Zero-Day (7. September), ein reguläres September-Bulletin (8. September) und das Oktober-Bulletin (13. Oktober). Was der Zeitraum enthielt, zeigen die unten verlinkten Adobe Security Bulletins (https://www.adobe.com/trust/security/bulletins-and-advisories.html).

7. September: APSB26-146, der ausgenutzte Zero-Day

Adobe hat APSB26-146 (https://www.adobe.com/security/products/magento/apsb26-146.html) mit Priorität 1 veröffentlicht. Dahinter steckt CVE-2026-75650 — eine nicht authentifizierte Remote-Code-Execution aus der Kategorie Template-Engine (CWE-1336) mit CVSS-3.1-Score 10.0 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Adobe bestätigt, dass die Schwachstelle im Wild ausgenutzt wurde; Security-Forscher (Tenable) sehen erste Ausnutzung ab dem 4. September, und CISA nahm die CVE am 8. September in ihren Known-Exploited-Vulnerabilities-Katalog auf.

Betroffen (August-2026-Builds und älter):

  • Adobe Commerce 2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug, 2.4.6-2026-aug, 2.4.5-2026-aug, 2.4.4-2026-aug und älter
  • Adobe Commerce B2B 1.5.3-2026-aug und älter (1.5.2, 1.4.2, 1.3.4, 1.3.3)
  • Magento Open Source 2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug, 2.4.6-2026-aug und älter

Die Lösung ist der Hotfix VULN-39341 — ein Composer-Patch von repo.magento.com, kein Versions-Bump — und Adobe dokumentiert dazu eine vollständige Credential-Rotation: Wartungsmodus, Cron deaktivieren, Encryption-Key plus Admin-Passwörter, Integration-Tokens, OAuth-Secrets, Payment-Gateway-Zugänge, Datenbank-/Fastly- und SSH-Keys rotieren, Cache leeren und neu deployen. Da der Hotfix Tage nach dem Beginn der Ausnutzung kam, sollte jeder internetseitige Shop als wahrscheinlicher Kompromittierungsfall behandelt werden: Das CERTVU-Advisory 273 (https://cert.gov.vu/images/publications/2026/Advisory_273.pdf) listet konkrete IOCs, darunter getarnte Prozesse (fc cache, chronyd) an ungewohnten Orten, Webshells unter pub/media/ und Dateien mit x_trace_ unter var/report/.

8. September: APSB26-138, das reguläre Bulletin

Einen Tag später folgte das reguläre September-Update, APSB26-138 (https://www.adobe.com/trust/security/products/magento/apsb26-138.html) (Priorität 2). Es behebt acht Schwachstellen — darunter zwei Stored-XSS-Privilege-Escalation-Flaws ohne Authentifizierung (CVE-2026-76200 und CVE-2026-76201, beide CVSS 9.3), mehrere Incorrect-Authorization-Probleme (bis 8.7, teils für Adobe Commerce B2B markiert) und eine Path Traversal (CVE-2026-77110, CVSS 7.6). Bemerkenswert: Die Fixes kommen als September-Isolated-Patch — Adobe hat kein neues -pN-Release veröffentlicht — und das Bulletin erinnert selbst daran, den APSB26-146-Hotfix zusätzlich zu installieren.

13. Oktober: APSB26-153, elf CVEs im Oktober-Bulletin

Das Update vom 13. Oktober, APSB26-153 (https://www.adobe.com/trust/security/products/commerce/apsb26-153.html) (Priorität 2), behebt elf CVEs für Adobe Commerce, Adobe Commerce B2B und Magento Open Source auf ihren September-2026-Builds und älter. Adobe ist keine Ausnutzung im Wild zu diesen Problemen bekannt. Die Liste gemäß offiziellem Bulletin:

  • CVE-2026-103849 — CVSS 3.1: 10.0 — Template-Engine (CWE-1336), Arbitrary Code Execution — Authentifizierung nötig: Nein
  • CVE-2026-92909 — CVSS 3.1: 9.8 — Incorrect Authorization (CWE-863), Arbitrary Code Execution — Authentifizierung nötig: Nein — Anm.: B2B
  • CVE-2026-91013 — CVSS 3.1: 9.3 — Stored XSS, Privilege Escalation — Authentifizierung nötig: Nein
  • CVE-2026-100133 — CVSS 3.1: 9.3 — Stored XSS, Privilege Escalation — Authentifizierung nötig: Nein
  • CVE-2026-92464 — CVSS 3.1: 9.1 — Improper Input Validation, Arbitrary Code Execution — Authentifizierung nötig: Ja
  • CVE-2026-92911 — CVSS 3.1: 8.7 — Stored XSS, Arbitrary Code Execution — Authentifizierung nötig: Ja
  • CVE-2026-95631 — CVSS 3.1: 8.7 — Improper Input Validation, Arbitrary File System Write — Authentifizierung nötig: Ja
  • CVE-2026-92908 — CVSS 3.1: 8.3 — Incorrect Authorization, Security Feature Bypass — Authentifizierung nötig: Ja — Anm.: B2B
  • CVE-2026-92922 — CVSS 3.1: 8.1 — Stored XSS, Privilege Escalation — Authentifizierung nötig: Ja
  • CVE-2026-92910 — CVSS 3.1: 7.2 — Incorrect Authorization, Security Feature Bypass — Authentifizierung nötig: Nein — Anm.: B2B
  • CVE-2026-95630 — CVSS 3.1: 4.3 — Improper Input Validation, Security Feature Bypass — Authentifizierung nötig: Ja

Gepatcht sind die -2026-oct-Isolated-Patch-Stände je Zweig (z. B. 2.4.9-2026-oct bis 2.4.4-2026-oct für Adobe Commerce, 1.5.3-2026-oct usw. für B2B, 2.4.9-2026-oct bis 2.4.7-2026-oct für Magento Open Source); 2.4.10-alpha1 (https://www.adobe.com/trust/security/products/commerce/apsb26-153.html) ist das erste Alpha der künftigen Release-Linie. Für den Patch-Lauf wären zwei Punkte zentral: Laut Adobe-Release-Notes ist der Hotfix zu CVE-2026-75650 weiterhin nicht im Oktober-Isolated-Patch enthalten (https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-49323) und muss separat installiert werden; und CVE-2026-103849 liegt in derselben CWE-1336-Kategorie wie der September-Zero-Day, ohne dass eine Authentifizierung nötig wäre.

Was jetzt zu tun ist

  • Den eingesetzten Build-Stand jedes Shops ermitteln, dann: den Oktober-Bulletin-Stand bzw. Isolated Patch zu APSB26-153 anwenden; den VULN-39341-Hotfix, falls noch nicht installiert — laut Adobe-KB ist keine strenge Reihenfolge vorgeschrieben; und den September-Isolated-Patch, falls Ihre Linie die APSB26-138-Fixes noch nicht enthält.
  • Verifizieren, dass der Hotfix sitzt — Adobe dokumentiert vendor/bin/magento-patches -n status | grep 39341 als Prüfung.
  • Das exponierte Zeitfenster als Kompromittierungs-Prüfung behandeln, nicht nur als Patch-Übung: IOCs oben abgleichen, anschließend die dokumentierte Credential-Rotation abarbeiten (Encryption-Key, Admin-Passwörter, Integration-Tokens, OAuth-Secrets, Payment-Gateways, Datenbank/Fastly, SSH- und Deploy-Keys).
  • Die Serverseite straffen: aktuelle Backups vor dem Patchen, Log-Review gegen die IOC-Liste und ein getesteter Rollback-Pfad, falls ein Patch-Schritt scheitert.

Fazit

Für die Applikationsebene führt Ihr Magento-Team das Patchen. Fast das gesamte Geschehen dieser fünf Wochen spielte sich aber auf der Serverebene ab: Composer-Patches, die mitten im Lauf abbrechen, rotierte Zugangsdaten, gesuchte Webshells, im schlimmsten Fall zurückzuspielende Backups. Genau dort arbeitet Linux-Server-Admin.com s.r.o. (https://linux-server-admin.com) an der Seite der Shop-Betreiber: Wir verwalten die Linux-Server darunter, halten Backups und Monitoring aktuell, beobachten Dateisystem und Logs gegen die oben genannten Indikatoren und geben dem Magento-Team eine Umgebung, in der Patchen Routine statt Feuerwehr ist.

Quellen

  • APSB26-146: https://www.adobe.com/security/products/magento/apsb26-146.html
  • APSB26-138: https://www.adobe.com/trust/security/products/magento/apsb26-138.html
  • APSB26-153: https://www.adobe.com/trust/security/products/commerce/apsb26-153.html
  • Hotfix-Anleitung (Adobe Commerce KB): https://experienceleague.adobe.com/en/docs/commerce-knowledge-base/kb/announcements/commerce-apsb26-146
  • Oktober-Release-Notes (KB): https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-49323
  • Tenable-FAQ zu CVE-2026-75650: https://www.tenable.com/blog/stylesmuggler-cve-2026-75650-frequently-asked-questions-about-adobe-commerce-and-magento-zero
  • CERTVU Advisory 273: https://cert.gov.vu/images/publications/2026/Advisory_273.pdf
  • NVD-Eintrag: https://nvd.nist.gov/vuln/detail/CVE-2026-75650

Vorherige

PHP-Sicherheitsupdate Oktober 2026: zwei kritische RCEs