Adobe Commerce & Magento: 14 Lücken gepatcht, eine kritisch (CVSS 9.6)

Veröffentlicht am 07.08.2026

Ein Angreifer braucht keinen Login, keine Administratorrechte und kein Passwort – nur eine unaufmerksame Sekunde eines Ihrer Mitarbeiter. Genau das ermöglicht die schwerste der 14 Sicherheitslücken, die Adobe am 14. Juli 2026 in Adobe Commerce und Magento Open Source geschlossen hat. Über CVE-2026-48356 (CVSS-Score 9.6) lassen sich schädliche Dateien – etwa eine sogenannte Webshell, ein kleines Fernsteuerungsprogramm für Ihren Server – hochladen und ausführen. Das Ergebnis: vollständige Kontrolle über Ihren Shop, Zugriff auf Kundendaten und im schlimmsten Fall ein Zahlungsdaten-Skimmer im Checkout. Und die Uhr läuft bereits.

Was ist passiert?

Adobe hat mit dem Sicherheits-Bulletin APSB26-73 insgesamt 14 Schwachstellen in Adobe Commerce, Adobe Commerce B2B, Magento Open Source und dem Adobe Commerce Events SDK behoben. Acht dieser Lücken stuft Adobe als kritisch ein, vier als wichtig, zwei als moderat. Das Bulletin trägt die Prioritätsstufe 2.

Die beiden gefährlichsten Lücken sollten Sie kennen:

• CVE-2026-48356 (CVSS 9.6): Eine Lücke der Kategorie „Unrestricted Upload of File with Dangerous Type" – zu Deutsch: Man kann gefährliche Dateien hochladen, ohne dass das System sie ausreichend prüft. Ein Angreifer benötigt keine Anmeldung und keine Administratorrechte. Erforderlich ist lediglich eine Benutzerinteraktion, etwa der Aufruf einer präparierten URL. Der Angreifer kann so PHP-Webshells auf den Server laden und darüber Schadcode ausführen.
• CVE-2026-48358 (laut NVD CVSS 10.0): Betrifft die Webhooks-Komponente (Schnittstellen, über die Ihr Shop automatisiert mit anderen Diensten kommuniziert). Hier kann ein völlig unauthentifizierter Angreifer ohne jede Benutzerinteraktion beliebigen Code auf dem Server ausführen. Das ist die gefährlichste Klasse von Web-Schwachstellen überhaupt. Betroffen sind allerdings nur Shops mit aktivierter Webhooks-Funktion.

Weitere kritische und wichtige Lücken betreffen unter anderem Stored Cross-Site-Scripting (Schadcode, der dauerhaft im Backend gespeichert und beim nächsten Admin-Besuch ausgeführt wird, z. B. CVE-2026-47994, CVSS 8.7) sowie fehlerhafte Autorisierungsprüfungen (CVE-2026-47988, CVSS 8.6 und CVE-2026-47984, CVSS 8.2), die ohne Login unbefugten Zugriff auf geschützte Ressourcen ermöglichen. Hinzu kommt eine SQL-Injection-Schwachstelle (CVE-2026-47992, CVSS 7.2) sowie mehrere kleinere Lücken bis hinunter zu einem Informationsleck (CVE-2026-48001, CVSS 3.7).

Wichtig zur Einordnung: Adobe teilte zum Zeitpunkt der Veröffentlichung mit, keine aktive Ausnutzung in freier Wildbahn zu kennen. Im Wortlaut heißt es im Bulletin:

„Adobe is not aware of any exploits in the wild for any of the issues addressed in these updates. Successful exploitation could lead to arbitrary code execution, privilege escalation, and security feature bypass." (Adobe Inc., Sicherheits-Bulletin APSB26-73)

Der technische Hintergrund – verständlich erklärt

Warum ist gerade CVE-2026-48356 so gefährlich? Die Ursache liegt laut der Analyse von SentinelOne in einer fehlenden oder unzureichenden Prüfung beim Datei-Upload. Die Anwendung vertraut Angaben, die der Angreifer selbst kontrolliert – etwa der Dateiendung oder dem sogenannten Content-Type-Header (eine Angabe, welche Art Datei angeblich hochgeladen wird).

„The root cause is missing or insufficient enforcement of allow-list validation on the file upload handlers. The application relies on client-side checks or trusts attacker-controlled attributes such as filename extensions and Content-Type headers. As a result, files with dangerous server-side interpreted extensions can be stored in web-accessible paths." (SentinelOne Vulnerability Database)

Eine typische Angriffskette sieht so aus:

1. Der Angreifer lädt über einen unzureichend gesicherten Upload-Endpunkt eine PHP-Webshell hoch.
2. Diese Datei landet in einem web-zugänglichen Verzeichnis wie pub/media/ oder pub/static/.
3. Der Angreifer ruft die Datei einfach im Browser auf – und erhält damit die Fähigkeit, beliebige Befehle auf Ihrem Server auszuführen (Remote Code Execution).
4. Von dort geht es weiter: Kundendaten exportieren, einen Checkout-Skimmer einschleusen (also Code, der Kreditkartendaten während der Zahlung abgreift), eine dauerhafte Hintertür einrichten.

Die EPSS-Ausnutzungswahrscheinlichkeit für CVE-2026-48356 lag im Juli 2026 bei 17,90 %. Öffentlicher Exploit-Code war Stand August 2026 nicht bekannt – aber das kann sich schnell ändern.

Wer ist betroffen?

Kurz gesagt: praktisch jeder Magento- und Adobe-Commerce-Shop, der nicht auf dem neuesten Patch-Stand ist. Betroffen sind alle aktiven Versionszweige:

• Adobe Commerce: 2.4.4 bis 2.4.9
• Magento Open Source: 2.4.6 bis 2.4.9

Laut StoreLeads (Stand Juli 2026) sind weltweit rund 104.546 aktive Magento-Stores betroffen. In Deutschland sind es etwa 7.022 Shops – das entspricht 6,7 % aller weltweiten Magento-Installationen. Damit ist Deutschland nach den USA der zweitgrößte Magento-Markt der Welt. Besonders gefährdet sind Shops ohne aktuellen Patch, Shops mit aktivierter Webhooks-Funktion, Shops mit veralteten Drittanbieter-Erweiterungen und Shops ohne Web Application Firewall.

Ein besonderer Hinweis für Shops auf Magento 2.4.6: Für diesen Zweig endet am 11. August 2026 der reguläre Support. Danach wird es keine Sicherheitspatches mehr geben.

So prüfen Sie, ob Sie betroffen sind

1. Version prüfen: Im Admin-Panel unter System > Tools > Web Setup Wizard oder per Kommandozeile mit php bin/magento --version. Gleichen Sie das Ergebnis mit den betroffenen Versionen ab.
2. Patch-Status prüfen: Mit dem neuen Commerce Version Tool über vendor/bin/patch-status oder alternativ mit vendor/bin/magento-patches -n status. Prüfen Sie, ob der Juli-2026-Patch als „Applied" angezeigt wird.
3. Adobe Security Scan Tool nutzen: Das kostenlose Tool unter account.magento.com/scanner/ registriert Ihre Shop-URL und prüft auf bekannte Schwachstellen und fehlende Patches.
4. Webserver-Logs prüfen: Suchen Sie in Ihren Nginx- oder Apache-Zugriffslogs nach POST-Anfragen an Upload-Endpunkte, gefolgt von GET-Anfragen auf dieselben Pfade – ein möglicher Hinweis auf bereits hochgeladene Webshells.
5. Verzeichnisse nach fremden PHP-Dateien durchsuchen: find pub/media pub/static var -name "*.php" -o -name "*.phtml" -o -name "*.phar". Alles, was hier auftaucht und nicht zum Core gehört, ist verdächtig.
6. Admin-Benutzer und API-Tokens prüfen: Unter System > Permissions > All Users auf unbekannte Accounts, unter System > Integrations auf fremde API-Integrationen achten.
7. CMS-Blöcke und Layout-Updates prüfen: Unter Content > Blocks und Content > Pages nach unbekannten oder verschleierten JavaScript-Schnipseln suchen – der klassische Eintrittspunkt für Checkout-Skimmer.

Das müssen Sie jetzt tun

Adobe stellt die Fixes als sogenannte Isolated Patches bereit – als ZIP-Dateien, nicht als Composer-Pakete. Wichtig: Jeder Patch gilt nur für die jeweils neueste Patch-Version des Zweigs und ist nicht kumulativ.

1. Patch einspielen – jetzt. Laden Sie den passenden Patch für Ihren Zweig herunter (z. B. 2-4-9-jul-2026.zip für 2.4.9 oder 2-4-8-p5-jul-2026.zip für 2.4.8-p5) über den Adobe-Experience-League-Artikel ka-37421. Testen Sie zuerst in der Staging-Umgebung (Homepage, Warenkorb, Checkout, Admin), dann auf Produktion. Adobe Commerce Cloud aktualisieren Sie über die Magento Cloud Patches.
2. Auf die neueste Patch-Version bringen. Wer z. B. noch auf 2.4.8-p4 ist, muss zunächst auf 2.4.8-p5 aktualisieren, bevor der Isolated Patch überhaupt aufgespielt werden kann.
3. Web Application Firewall aktivieren. Eine WAF (z. B. Cloudflare, Fastly oder die integrierte Adobe-Commerce-Cloud-WAF) schützt vor Datei-Upload-Missbrauch und Webhook-Angriffen. Aktivieren Sie Regeln für gefährliche Dateiendungen im Upload-Pfad.
4. Admin-Zugang absichern. Standard-Pfad /admin durch einen individuellen ersetzen, Zugriff per IP-Allowlisting beschränken und Zwei-Faktor-Authentifizierung für alle Admin-Accounts erzwingen.
5. Webhooks überprüfen. Wegen CVE-2026-48358: Alle konfigurierten Webhooks unter System > Integrations auflisten und nicht mehr benötigte deaktivieren.
6. Kompromittierung prüfen. Falls Ihr Shop länger ungepatcht lief: Webshell-Scan durchführen, Core-Dateien gegen eine saubere Kopie abgleichen, Cron-Jobs prüfen und die Tabelle core_config_data auf manipulierte Payment-Gateway-Einstellungen kontrollieren.
7. Drittanbieter-Extensions aktualisieren. Viele Magento-Kompromittierungen entstehen über veraltete Module.
8. EOL-Versionen einplanen. Wer auf 2.4.6 ist: Upgrade auf 2.4.8 oder 2.4.9 vor dem 11. August 2026 einplanen.
9. Monitoring einrichten. Dateiintegritäts-Überwachung für pub/, app/etc/ und var/, Login-Anomalien überwachen und die Adobe Security Bulletins abonnieren. Seit dem 14. Juli 2026 erscheinen diese zweimal monatlich (2. und 4. Dienstag).

Warum Eile geboten ist

Auch wenn aktuell kein Angriff bekannt ist – die Erfahrung zeigt, dass sich das schnell ändert. Simon Bumford, Gründer des Magento-Hosting-Spezialisten EveryHost, bringt es auf den Punkt:

„Every Magento security bulletin starts a race. Adobe publishes the fix; attackers download it, diff the patched code against the vulnerable code, and work backwards to an exploit. […] SessionReaper (CVE-2025-54236, patched in September 2025) went from bulletin to mass exploitation in roughly six weeks. […] Patch inside it and APSB26-73 is routine maintenance. Patch after it closes and you are racing automated scanners that already know exactly which endpoints to probe." (Simon Bumford, EveryHost)

Die Zahlen belegen das Muster: Bei CosmicSting (CVE-2024-34102, Juli 2024) wurden über 4.200 Stores kompromittiert. Bei SessionReaper (CVE-2025-54236, September 2025) begannen die Massenangriffe rund sechs Wochen nach der Veröffentlichung – bis Ende Oktober 2025 hatten Angreifer 16–18 % aller Magento-Stores mit Hintertüren infiziert. Der Sicherheitsforscher Sansec fasst die Lage so zusammen: „Attackers weaponize Adobe security releases within hours of publication." Und weiter: „One in five Magento stores get hacked each year." – Statistisch wird also jeder fünfte Magento-Shop pro Jahr gehackt.

Dan Garner von AuditIQ stellt die entscheidende Frage, die über das reine Patchen hinausgeht:

„The question isn't just ‚Have I patched?' It's ‚Was my store compromised before I patched?' And more urgently: ‚Would I know if it had been?'" (Dan Garner, AuditIQ)

Was das für die DSGVO bedeutet

Für deutsche KMU ist ein erfolgreicher Angriff nicht nur ein IT-Problem, sondern ein handfestes Rechtsrisiko. Werden bei einer Kompromittierung personenbezogene Daten – Kundennamen, Adressen, Zahlungsdaten – abgegriffen, greifen mehrere Pflichten:

• Meldepflicht (Art. 33 DSGVO): Sie müssen die zuständige Landesdatenschutzbehörde (z. B. BayLDA, LfDI Baden-Württemberg, Berliner Beauftragte für Datenschutz) unverzüglich und möglichst binnen 72 Stunden nach Kenntnis informieren.
• Benachrichtigungspflicht (Art. 34 DSGVO): Bei hohem Risiko – etwa gestohlenen Zahlungsdaten – müssen Sie auch die betroffenen Kunden informieren.
• Bußgeldrisiko (Art. 83 DSGVO): Bei Verstößen gegen die Meldepflicht oder unzureichenden technischen Schutzmaßnahmen (Art. 32 DSGVO) drohen Bußgelder bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, bei besonders schweren Verstößen bis zu 20 Mio. Euro oder 4 %.
• Schadensersatz (Art. 82 DSGVO): Betroffene Kunden können materielle und immaterielle Schäden geltend machen.

Der entscheidende Punkt: Adobe stellt die Patches bereit. Wer sie nicht zeitnah einspielt, riskiert, dass im Schadensfall eine Mitschuld wegen fehlender technischer und organisatorischer Maßnahmen festgestellt wird. Der GDPR Enforcement Tracker verzeichnet bereits 3.202 DSGVO-Bußgeldfälle mit einem Gesamtvolumen von 6,31 Milliarden Euro (Stand August 2026). Besonders heikel sind Magecart-Angriffe: Werden über eine der Lücken Checkout-Skimmer eingeschleust, fließen Kreditkartendaten in Echtzeit an die Angreifer – ein Paradebeispiel für eine meldepflichtige Datenpanne mit hohem Risiko.

Fazit

APSB26-73 ist kein Routine-Update, das man auf die nächste Woche verschieben kann. Mit einer nicht authentifiziert ausnutzbaren Upload-Lücke (CVSS 9.6) und einer Remote-Code-Execution in der Webhooks-Komponente (CVSS 10.0) sind die schwersten Lücken genau die Art, die Angreifer historisch innerhalb von Tagen bis Wochen massenhaft ausgenutzt haben. Aktuell ist keine aktive Ausnutzung bekannt – und genau dieses Zeitfenster sollten Sie nutzen.

Konkret heißt das: Prüfen Sie noch heute Ihre Version und Ihren Patch-Stand, spielen Sie den passenden Isolated Patch ein, sichern Sie Ihren Admin-Zugang ab und behalten Sie Ihre Dateiverzeichnisse im Blick. Wer noch auf Magento 2.4.6 läuft, sollte den 11. August 2026 fest im Kalender haben – danach gibt es für diesen Zweig keine Sicherheitspatches mehr. Adobe selbst formuliert die Dringlichkeit unmissverständlich: „Please apply the latest security updates as soon as possible."