Kritische Magento Zero-Day CVE-2026-75650 wird aktiv ausgenutzt
Magento CVE-2026-75650 ist eine kritische Zero-Day-Sicherheitslücke in Adobe Commerce und Magento Open Source, die bereits aktiv in freier Wildbahn ausgenutzt wird.
Die Schwachstelle erreicht die maximale CVSS-Bewertung von 10.0 Critical. Ein entfernter Angreifer kann die Sicherheitslücke ohne Benutzerkonto, Authentifizierung oder Benutzerinteraktion ausnutzen und beliebigen Code innerhalb eines anfälligen Onlineshops ausführen.
Adobe bestätigt, dass CVE-2026-75650 aktiv in freier Wildbahn ausgenutzt wird, und hat am 7. September 2026 ein dringendes Sicherheitsupdate veröffentlicht.
Aufgrund der Schwere von Magento CVE-2026-75650 und der bestätigten aktiven Ausnutzung sollten Administratoren von Magento Open Source und Adobe Commerce sofort handeln.
Magento CVE-2026-75650 wird aktiv ausgenutzt
CVE-2026-75650 wird durch eine fehlerhafte Verarbeitung spezieller Elemente innerhalb einer Template Engine von Adobe Commerce und Magento Open Source verursacht.
Die Schwachstelle ist als CWE-1336 – Improper Neutralization of Special Elements Used in a Template Engine klassifiziert.
Durch speziell präparierte Eingaben kann ein entfernter Angreifer beliebigen Code innerhalb der betroffenen Shop-Umgebung ausführen.
Für die Ausnutzung ist keine Authentifizierung erforderlich. Auch ein Administrator oder Besucher muss keinen Link öffnen oder eine andere Aktion durchführen.
Wichtige Informationen zu Magento CVE-2026-75650
- Produkte: Adobe Commerce, Adobe Commerce B2B und Magento Open Source
- CVE: CVE-2026-75650
- Adobe Bulletin: APSB26-146
- Adobe Hotfix: VULN-39341
- Schwachstelle: Template Injection / Arbitrary Code Execution
- CWE: CWE-1336
- Schweregrad: Critical
- CVSS: 10.0
- Authentifizierung erforderlich: nein
- Benutzerinteraktion erforderlich: nein
- Exploit-Status: aktive Ausnutzung von Adobe bestätigt
- Adobe Priority Rating: 1
- Sicherheitslösung: Adobe Hotfix VULN-39341 installieren
- Erforderliche Maßnahmen: sofort patchen, Umgebung auf Kompromittierung untersuchen und möglicherweise offengelegte Zugangsdaten ersetzen
Welche Magento- und Adobe-Commerce-Versionen sind betroffen?
Adobe nennt die folgenden Adobe-Commerce-Versionen als betroffen:
- 2.4.9-2026-aug und früher;
- 2.4.8-2026-aug und früher;
- 2.4.7-2026-aug und früher;
- 2.4.6-2026-aug und früher;
- 2.4.5-2026-aug und früher;
- 2.4.4-2026-aug und früher.
Für Adobe Commerce B2B sind folgende Versionszweige betroffen:
- 1.5.3-2026-aug und früher;
- 1.5.2-2026-aug und früher;
- 1.4.2-2026-aug und früher;
- 1.3.4-2026-aug und früher;
- 1.3.3-2026-aug und früher.
Für Magento Open Source nennt Adobe:
- 2.4.9-2026-aug und früher;
- 2.4.8-2026-aug und früher;
- 2.4.7-2026-aug und früher;
- 2.4.6-2026-aug und früher.
Adobe hat für diese Schwachstelle einen separaten VULN-39341-Hotfix veröffentlicht. Die alleinige Kontrolle der sichtbaren Magento-Versionsnummer reicht daher nicht aus, um festzustellen, ob eine Umgebung geschützt ist.
Aktive Angriffe auf Magento CVE-2026-75650
Bei dieser Schwachstelle handelt es sich nicht nur um ein theoretisches Sicherheitsrisiko.
Adobe bestätigt ausdrücklich, dass CVE-2026-75650 aktiv in freier Wildbahn ausgenutzt wird.
Eine erfolgreiche Kompromittierung kann es einem Angreifer ermöglichen, dauerhaften Zugriff auf die Shop-Umgebung einzurichten, beispielsweise durch die Installation einer Backdoor oder Webshell.
Ein Onlineshop, der vor der Installation des Hotfixes öffentlich erreichbar und anfällig war, sollte deshalb nicht automatisch als sicher betrachtet werden, nur weil der Patch inzwischen installiert wurde.
Das Patchen verhindert eine erneute Ausnutzung über diese Schwachstelle, entfernt jedoch keine möglicherweise bereits installierte Malware.
Remote Code Execution ohne Anmeldung
Der veröffentlichte CVSS-Vektor für CVE-2026-75650 lautet:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Dies bedeutet unter anderem:
- der Angriff kann über das Netzwerk durchgeführt werden;
- die Angriffskomplexität ist gering;
- es sind keine Benutzerrechte erforderlich;
- es ist keine Benutzerinteraktion erforderlich;
- die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch.
Eine erfolgreiche Remote Code Execution kann einem Angreifer ermöglichen, Dateien zu verändern, Malware oder Webshells zu installieren, Shop-Daten auszulesen und dauerhaften Zugriff auf die Umgebung einzurichten.
Für E-Commerce-Umgebungen ist dies besonders kritisch, da Magento und Adobe Commerce üblicherweise Zugriff auf Datenbanken, API-Tokens, Zahlungsanbieter und zahlreiche externe Integrationen besitzen.
Adobe Hotfix VULN-39341 sofort installieren
Adobe hat die Schwachstelle mit Priority Rating 1 eingestuft und empfiehlt, den verfügbaren Hotfix auf betroffenen Umgebungen unverzüglich zu installieren.
Für Adobe Commerce on-premises, Adobe Commerce on Cloud und Magento Open Source muss der passende VULN-39341-Patch installiert werden.
Adobe gibt an, dass der Hotfix offiziell mit den August-2026-Versionen der unterstützten Produktzweige getestet wurde. Er kann möglicherweise auch mit anderen unterstützten Versionen funktionieren, deren Kompatibilität wurde von Adobe jedoch nicht offiziell bestätigt.
Verwenden Sie deshalb ausschließlich den offiziellen Adobe-Hotfix und kontrollieren Sie sorgfältig, ob dieser erfolgreich installiert wurde.
Da Magento CVE-2026-75650 bereits aktiv ausgenutzt wird, sollte mit der Installation nicht bis zum nächsten regulären Wartungsfenster gewartet werden.
Nur patchen reicht nicht aus
Da CVE-2026-75650 bereits ausgenutzt wurde, bevor das Sicherheitsupdate verfügbar war, empfiehlt Adobe zusätzliche Maßnahmen.
Nach Installation des Hotfixes müssen der Commerce Encryption Key sowie möglicherweise offengelegte Zugangsdaten ersetzt werden.
Adobe weist ausdrücklich darauf hin, dass allein das Rotieren des Commerce Encryption Keys nicht ausreichend ist. Zugangsdaten, die zuvor entschlüsselt oder von einem Angreifer ausgelesen wurden, bleiben gültig, bis sie beim jeweiligen Dienst widerrufen oder ersetzt werden.
Welche Zugangsdaten sollten ersetzt werden?
Nach dem Patchen sollte überprüft werden, welche sensiblen Zugangsdaten aus der Magento-Umgebung erreichbar gewesen sein könnten.
- Adobe Commerce/Magento Encryption Key;
- Passwörter von Admin-Panel-Benutzern;
- REST-, SOAP- und GraphQL-Integrationstokens;
- OAuth Client Secrets;
- API-Zugangsdaten von Zahlungsanbietern;
- Datenbankbenutzer und Passwörter;
- SSH- und Deployment-Keys;
- Zugangsdaten von Cron- und anderen Service-Accounts;
- API-Keys von Versand-, Steuer- und anderen externen Integrationen.
Zugangsdaten externer Dienste müssen beim jeweiligen Anbieter widerrufen und neu erstellt werden. Eine Änderung der in Magento gespeicherten Konfiguration allein macht bereits kompromittierte Zugangsdaten nicht zwangsläufig ungültig.
Prüfen, ob der Magento-Hotfix tatsächlich installiert ist
Adobe weist darauf hin, dass anhand der Magento-Versionsnummer allein nicht immer eindeutig festgestellt werden kann, ob CVE-2026-75650 behoben wurde.
Bei Adobe Commerce on Cloud kann der Status des VULN-39341-Hotfixes unter anderem mit folgendem Befehl überprüft werden:
vendor/bin/magento-patches -n status | grep "39341\|Status"
Der Hotfix muss dabei mit dem Status Applied angezeigt werden.
Bei anderen Installationstypen muss kontrolliert werden, ob der offizielle Adobe-Patch erfolgreich und ohne Fehler installiert wurde.
Magento auf mögliche Kompromittierung überprüfen
Da Magento CVE-2026-75650 aktiv ausgenutzt wird, sollten Administratoren die Umgebung nicht nur patchen, sondern auch untersuchen, ob sie möglicherweise bereits kompromittiert wurde.
Überprüfen Sie unter anderem:
- kürzlich erstellte oder veränderte PHP-Dateien;
- unerwartete Dateien in beschreibbaren Magento-Verzeichnissen;
- unbekannte Webshells oder andere ausführbare Dateien;
- unerwartete Änderungen an Templates und CMS-Inhalten;
- neue oder unbekannte Magento-Administratorkonten;
- unerwartete Änderungen an Integrationen oder API-Tokens;
- ungewöhnliche Cronjobs;
- unbekannte Prozesse unter dem Webserver-Benutzer;
- unerwartete ausgehende Netzwerkverbindungen;
- verdächtige HTTP-Anfragen aus dem Zeitraum, in dem der Shop anfällig war;
- Dateiänderungen, die nicht durch ein reguläres Deployment erklärt werden können.
Eine vollständige serverseitige Malware- und Integritätsprüfung ist dringend zu empfehlen, wenn ein anfälliger Onlineshop vor der Installation des Hotfixes öffentlich erreichbar war.
Ein erfolgreicher Patch entfernt keine vorhandene Malware
Bei einer aktiv ausgenutzten Remote-Code-Execution-Schwachstelle ist dies ein besonders wichtiger Unterschied.
Der VULN-39341-Hotfix verhindert eine weitere Ausnutzung über CVE-2026-75650, entfernt jedoch keine Backdoors, Webshells oder andere Malware, die möglicherweise bereits vor dem Patchen installiert wurde.
Werden Hinweise auf eine Kompromittierung gefunden, sollte die Umgebung als Sicherheitsvorfall behandelt werden.
In diesem Fall müssen nicht nur die Magento-Installation, sondern auch der zugrunde liegende Server, Benutzerkonten, Datenbank, Cronjobs, SSH-Zugänge und externe Integrationen überprüft werden.
Warum diese Magento-Sicherheitslücke besonders kritisch ist
Ein Magento- oder Adobe-Commerce-Onlineshop verarbeitet in der Regel wesentlich mehr sensible Informationen und externe Integrationen als eine einfache Website.
Neben Kunden- und Bestelldaten bestehen häufig Verbindungen zu:
- Zahlungsanbietern;
- ERP- und Buchhaltungssystemen;
- Versandplattformen;
- Marketing- und Analytics-Diensten;
- Lager- und Fulfilment-Systemen;
- externen APIs;
- Deployment- und Verwaltungssystemen.
Kann ein Angreifer beliebigen Code innerhalb der Shop-Umgebung ausführen, können dadurch auch Zugangsdaten und Informationen verbundener Systeme gefährdet sein.
Verantwortung für CMS-Sicherheitsupdates
Kunden ohne Managed WordPress/CMS-Wartung oder einen separat vereinbarten Managed-CMS-Service sind selbst dafür verantwortlich, Magento, Adobe Commerce, WordPress, andere CMS-Software, Plugins, Extensions und Themes rechtzeitig zu aktualisieren.
Wenn eine Website durch Missbrauch, Malware oder nachweisbar überfällige Wartung ein Risiko für unsere Infrastruktur, andere Kunden oder Dritte darstellt, kann Vservs die betroffene Website oder den betreffenden Dienst vorübergehend isolieren oder deaktivieren.
Dies erfolgt ausschließlich als Sicherheits- und Kontinuitätsmaßnahme, um weiteren Missbrauch, Schäden oder Beeinträchtigungen unserer Infrastruktur und Dienste zu verhindern.
Wiederherstellungsarbeiten an nicht gemanagten Umgebungen außerhalb unserer regulären Geschäftszeiten, an Wochenenden oder Feiertagen sind von der Schwere des Vorfalls und unserer Verfügbarkeit abhängig. Wenn keine sofortige Intervention erforderlich ist, können die Wiederherstellungsarbeiten ab dem nächsten Werktag aufgenommen werden.
Managed Hosting von Vservs
Magento CVE-2026-75650 zeigt, dass bei geschäftskritischen E-Commerce-Umgebungen nicht nur die Verwaltung des zugrunde liegenden Servers wichtig ist. Auch Security Advisories, Anwendungspatches, Extensions, Malware-Erkennung und die Integrität des Onlineshops müssen aktiv überwacht werden.
Wenn Sie die vollständige technische Verwaltung einer geschäftskritischen Magento-, Adobe-Commerce- oder anderen E-Commerce-Umgebung nicht selbst übernehmen möchten, kontaktieren Sie Vservs, um die Möglichkeiten für Managed Hosting und Managed VPS zu besprechen.