Magento Security Update behebt acht kritische Sicherheitslücken
Magento Security Update APSB26-138 wurde von Adobe am 8. September 2026 für Adobe Commerce, Adobe Commerce B2B und Magento Open Source veröffentlicht. Das Update behebt acht kritische Sicherheitslücken.
Die Schwachstellen können unter anderem zu Privilege Escalation und zur Umgehung von Sicherheitsmechanismen führen. Laut Adobe können sechs der acht Sicherheitslücken ohne Authentifizierung ausgenutzt werden.
Der höchste CVSS-Score beträgt 9.3. Zum Zeitpunkt der Veröffentlichung sind Adobe keine Exploits in freier Wildbahn für die acht mit APSB26-138 behobenen Schwachstellen bekannt.
Wichtig ist, dass dieses Magento Security Update den separaten Zero-Day-Hotfix für CVE-2026-75650 nicht ersetzt. Adobe weist ausdrücklich darauf hin, dass der Hotfix für CVE-2026-75650 zusätzlich zu den September-Sicherheitsupdates installiert werden muss.
Magento Security Update APSB26-138
Adobe hat APSB26-138 als neues Sicherheitsupdate für Adobe Commerce und Magento Open Source veröffentlicht.
Das Update enthält Sicherheitskorrekturen für acht CVEs:
- CVE-2026-76200 – Stored Cross-Site Scripting;
- CVE-2026-76201 – Stored Cross-Site Scripting;
- CVE-2026-77111 – Incorrect Authorization;
- CVE-2026-77109 – Incorrect Authorization in Adobe Commerce B2B;
- CVE-2026-77774 – Incorrect Authorization;
- CVE-2026-76202 – Incorrect Authorization;
- CVE-2026-77110 – Path Traversal;
- CVE-2026-77108 – Incorrect Authorization in Adobe Commerce B2B.
Adobe klassifiziert alle acht Schwachstellen als Critical.
Wichtige Informationen zum Magento Security Update
- Adobe Bulletin: APSB26-138
- Veröffentlichungsdatum: 8. September 2026
- Produkte: Adobe Commerce, Adobe Commerce B2B und Magento Open Source
- Anzahl der Schwachstellen: 8
- Höchster Schweregrad: Critical
- Höchster CVSS-Score: 9.3
- Mögliche Auswirkungen: Privilege Escalation und Security Feature Bypass
- Ohne Authentifizierung ausnutzbar: 6 von 8 Schwachstellen
- Aktive Ausnutzung: Adobe sind derzeit keine Exploits in freier Wildbahn bekannt
- Adobe Priority Rating: 2
- Maßnahme: September-2026-Sicherheitsupdate installieren
- Zusätzliche Maßnahme: separaten CVE-2026-75650-Hotfix prüfen und installieren
Zwei Schwachstellen mit CVSS 9.3
Die am höchsten bewerteten Schwachstellen in APSB26-138 sind CVE-2026-76200 und CVE-2026-76201.
Bei beiden Sicherheitsproblemen handelt es sich um Stored-Cross-Site-Scripting-Schwachstellen, die unter CWE-79 klassifiziert sind.
Adobe bewertet beide Schwachstellen mit einem CVSS-Score von 9.3 und nennt Privilege Escalation als mögliche Auswirkung.
Laut Adobe ist für die Ausnutzung keine Authentifizierung erforderlich. Eine Benutzerinteraktion ist jedoch notwendig.
Vier Incorrect-Authorization-Schwachstellen
APSB26-138 behebt außerdem mehrere Sicherheitsprobleme, die durch unzureichende Autorisierungskontrollen verursacht werden.
CVE-2026-77111 hat einen CVSS-Score von 8.7 und kann zur Umgehung von Sicherheitsmechanismen führen. Laut Adobe sind für die Ausnutzung eine Authentifizierung und hohe Benutzerrechte erforderlich.
CVE-2026-77109 betrifft Adobe Commerce B2B und hat einen CVSS-Score von 8.6. Die Schwachstelle kann ohne Authentifizierung ausgenutzt werden und zu Privilege Escalation führen.
CVE-2026-77774 hat ebenfalls einen CVSS-Score von 8.6. Eine Authentifizierung ist nicht erforderlich. Eine erfolgreiche Ausnutzung kann zur Umgehung von Sicherheitsmechanismen führen.
CVE-2026-76202 hat einen CVSS-Score von 8.2 und kann ohne Authentifizierung ausgenutzt werden. Die mögliche Auswirkung ist Privilege Escalation.
Path-Traversal-Schwachstelle in Adobe Commerce
Eine weitere mit dem Magento Security Update behobene Schwachstelle ist CVE-2026-77110.
Adobe klassifiziert diese als Improper Limitation of a Pathname to a Restricted Directory, allgemein als Path Traversal bezeichnet.
CVE-2026-77110 hat einen CVSS-Score von 7.6. Eine erfolgreiche Ausnutzung kann zur Umgehung von Sicherheitsmechanismen führen.
Laut Adobe sind für die Ausnutzung dieser Schwachstelle hohe Benutzerrechte erforderlich.
Adobe Commerce B2B Schwachstelle CVE-2026-77108
Mit CVE-2026-77108 wird außerdem eine weitere Schwachstelle behoben, die speziell Adobe Commerce B2B betrifft.
Diese Incorrect-Authorization-Schwachstelle hat einen CVSS-Score von 7.5 und kann ohne Authentifizierung ausgenutzt werden.
Adobe nennt Privilege Escalation als mögliche Auswirkung.
Welche Adobe-Commerce-Versionen sind betroffen?
Laut Adobe sind folgende Adobe-Commerce-Versionen von den in APSB26-138 behobenen Schwachstellen betroffen:
- 2.4.9-2026-aug und früher;
- 2.4.8-2026-aug und früher;
- 2.4.7-2026-aug und früher;
- 2.4.6-2026-aug und früher;
- 2.4.5-2026-aug und früher;
- 2.4.4-2026-aug und früher.
Adobe hat folgende September-2026-Updates veröffentlicht:
- 2.4.9-2026-sep;
- 2.4.8-2026-sep;
- 2.4.7-2026-sep;
- 2.4.6-2026-sep;
- 2.4.5-2026-sep;
- 2.4.4-2026-sep.
Adobe Commerce B2B Versionen
Für Adobe Commerce B2B nennt Adobe folgende betroffene Versionszweige:
- 1.5.3-2026-aug und früher;
- 1.5.2-2026-aug und früher;
- 1.4.2-2026-aug und früher;
- 1.3.4-2026-aug und früher;
- 1.3.3-2026-aug und früher.
Die entsprechenden September-Updates sind:
- 1.5.3-2026-sep;
- 1.5.2-2026-sep;
- 1.4.2-2026-sep;
- 1.3.4-2026-sep;
- 1.3.3-2026-sep.
Magento Open Source aktualisieren
Für Magento Open Source nennt Adobe folgende betroffene Versionen:
- 2.4.9-2026-aug und früher;
- 2.4.8-2026-aug und früher;
- 2.4.7-2026-aug und früher;
- 2.4.6-2026-aug und früher.
In APSB26-138 nennt Adobe folgende aktualisierte Magento-Open-Source-Versionen:
- 2.4.9-2026-sep;
- 2.4.8-2026-sep;
- 2.4.7-2026-sep.
Für die jeweils eingesetzte Magento-Version sollten vor einem Update der Produktionsumgebung immer die aktuellen Adobe Release Notes und Installationshinweise geprüft werden.
Keine aktive Ausnutzung von APSB26-138 bekannt
Zum Zeitpunkt der Veröffentlichung gibt Adobe an, dass keine Exploits in freier Wildbahn für die acht mit APSB26-138 behobenen Schwachstellen bekannt sind.
Diese Unterscheidung ist wichtig. Die Schwachstellen aus diesem Magento Security Update sollten nicht als aktiv ausgenutzt bezeichnet werden, solange dafür keine zuverlässige Bestätigung vorliegt.
Damit unterscheidet sich die Situation deutlich von CVE-2026-75650, für die Adobe eine aktive Ausnutzung bestätigt hat.
Wichtig: CVE-2026-75650 benötigt einen separaten Hotfix
Dies ist derzeit einer der wichtigsten Punkte für Administratoren von Magento und Adobe Commerce.
Adobe hat am 7. September 2026 das separate Sicherheitsbulletin APSB26-146 für die kritische Zero-Day-Schwachstelle CVE-2026-75650 veröffentlicht.
Diese Schwachstelle hat einen CVSS-Score von 10.0, ermöglicht Arbitrary Code Execution ohne Authentifizierung und wird laut Adobe aktiv in freier Wildbahn ausgenutzt.
Adobe weist deshalb in APSB26-138 ausdrücklich darauf hin, dass Administratoren den Hotfix für CVE-2026-75650 zusätzlich zu den Sicherheitsupdates aus APSB26-138 installieren müssen.
Die alleinige Installation des neuen September-Sicherheitsupdates darf daher nicht als Bestätigung betrachtet werden, dass CVE-2026-75650 ebenfalls behoben wurde.
Beide Magento-Sicherheitsupdates kontrollieren
Administratoren sollten deshalb zwei separate Sicherheitsmaßnahmen überprüfen:
- ob das September-2026-Sicherheitsupdate aus APSB26-138 installiert wurde;
- ob der separate CVE-2026-75650-Hotfix aus APSB26-146 korrekt angewendet wurde.
Für CVE-2026-75650 stellt Adobe den Hotfix VULN-39341 bereit.
Da diese Zero-Day-Schwachstelle aktiv ausgenutzt wird, sollte zusätzlich untersucht werden, ob die Umgebung bereits vor der Installation des Hotfixes kompromittiert worden sein könnte. Das nachträgliche Patchen entfernt keine möglicherweise bereits installierte Malware oder Webshells.
Warum ein schnelles Update wichtig ist
Obwohl Adobe derzeit keine aktive Ausnutzung der acht APSB26-138-Schwachstellen meldet, können mehrere dieser Sicherheitsprobleme ohne Authentifizierung ausgenutzt werden.
Bei einer öffentlich erreichbaren E-Commerce-Umgebung sollte ein solches Sicherheitsupdate deshalb nicht unnötig aufgeschoben werden.
Magento- und Adobe-Commerce-Installationen verarbeiten zudem häufig sensible Kunden- und Bestelldaten und sind mit externen Systemen verbunden, beispielsweise:
- Zahlungsanbietern;
- ERP- und Buchhaltungssystemen;
- Versandplattformen;
- Lager- und Fulfilment-Systemen;
- Marketingdiensten;
- externen APIs;
- Deployment- und Verwaltungssystemen.
Eine Schwachstelle, die Privilege Escalation oder die Umgehung von Sicherheitsmechanismen ermöglicht, kann daher Auswirkungen haben, die über den Onlineshop selbst hinausgehen.
Update zunächst in einer kontrollierten Umgebung testen
Bei geschäftskritischen Magento- und Adobe-Commerce-Umgebungen empfehlen wir, Sicherheitsupdates so schnell wie möglich zu installieren, dabei jedoch einen kontrollierten Updateprozess einzuhalten.
Erstellen Sie vorher ein aktuelles Backup, prüfen Sie individuelle Module und Erweiterungen von Drittanbietern und testen Sie das Update nach Möglichkeit zunächst in einer Staging-Umgebung.
Nach dem Update sollten mindestens folgende Bereiche überprüft werden:
- Frontend und Checkout;
- Zahlungsmethoden;
- Magento Cronjobs;
- API-Integrationen;
- ERP- und Fulfilment-Anbindungen;
- Administrationsfunktionen;
- individuelle Module und Themes;
- Magento- und Serverlogs auf neue Fehler.
Verantwortung für CMS-Sicherheitsupdates
Kunden ohne Managed WordPress/CMS-Wartung oder einen separat vereinbarten Managed-CMS-Service sind selbst dafür verantwortlich, Magento, Adobe Commerce, WordPress, andere CMS-Software, Plugins, Extensions und Themes rechtzeitig zu aktualisieren.
Wenn eine Website durch Missbrauch, Malware oder nachweisbar überfällige Wartung ein Risiko für unsere Infrastruktur, andere Kunden oder Dritte darstellt, kann Vservs die betroffene Website oder den betreffenden Dienst vorübergehend isolieren oder deaktivieren.
Dies erfolgt ausschließlich als Sicherheits- und Kontinuitätsmaßnahme, um weiteren Missbrauch, Schäden oder Beeinträchtigungen unserer Infrastruktur und Dienste zu verhindern.
Wiederherstellungsarbeiten an nicht gemanagten Umgebungen außerhalb unserer regulären Geschäftszeiten, an Wochenenden oder Feiertagen sind von der Schwere des Vorfalls und unserer Verfügbarkeit abhängig. Wenn keine sofortige Intervention erforderlich ist, können die Wiederherstellungsarbeiten ab dem nächsten Werktag aufgenommen werden.
Managed Hosting von Vservs
Dieses Magento Security Update zeigt erneut, dass die Verwaltung einer geschäftskritischen E-Commerce-Umgebung weit über die Wartung des zugrunde liegenden Servers hinausgeht.
Security Advisories, Magento-Updates, Extensions, Serversicherheit, Monitoring, Backups und die Integrität des Onlineshops müssen gemeinsam überwacht werden.
Wenn Sie die vollständige technische Verwaltung einer Magento-, Adobe-Commerce- oder anderen geschäftskritischen E-Commerce-Umgebung nicht selbst übernehmen möchten, kontaktieren Sie Vservs, um die Möglichkeiten für Managed Hosting und Managed VPS zu besprechen.