Adobe Commerce CVE-2026-71362: Angriffe auf Kundenkonten sofort nach Patch
CVE-2026-71362 (CVSS 9.1) erlaubt unauthentifizierten Angreifern die Übernahme fremder Kundensitzungen in Adobe Commerce und Magento Open Source. Sicherheitsfirma Sansec beobachtet bereits Ausnutzungsversuche, nur Tage nach der Veröffentlichung des Sicherheitsupdates APSB26-92. Shop-Betreiber sollten den Patch priorisiert einspielen und Sitzungen auf verdächtige Kontowechsel prüfen.
Adobe hat am 11. August 2026 mit dem Sicherheitsbulletin APSB26-92 ein Update für Adobe Commerce und Magento Open Source veröffentlicht. Darin enthalten ist CVE-2026-71362, eine Schwachstelle mit einem CVSS-Wert von 9.1, die es unauthentifizierten Angreifern erlaubt, Kundensitzungen zu übernehmen. Nur wenige Tage nach der Veröffentlichung berichtet die auf E-Commerce-Sicherheit spezialisierte Firma Sansec bereits von aktiven Ausnutzungsversuchen gegen ungepatchte Shops.
Was ist passiert
Die Schwachstelle CVE-2026-71362 ist laut Adobe-Bulletin und mehreren unabhängigen Quellen (BleepingComputer, SecurityAffairs, The Hacker News) eine fehlerhafte Autorisierung (CWE-863) im Session-Handling von Adobe Commerce. Die Plattform bindet Kundenidentitäten nicht korrekt an die zugehörige Sitzung. Ein Angreifer kann dadurch ohne gültiges Konto und ohne Interaktion des Opfers eine fremde Kundensitzung übernehmen und so an private Daten, Bestellhistorien und Zahlungsinformationen gelangen.
Sansec betreibt die Web Application Firewall Shield für zahlreiche Magento- und Adobe-Commerce-Shops und meldet, dass erste Exploit-Versuche bereits kurz nach der Veröffentlichung des Patches blockiert wurden. Adobe selbst schreibt im Bulletin, zum Zeitpunkt der Veröffentlichung seien keine aktiven Exploits bekannt gewesen. Das Zeitfenster zwischen Patch und erster beobachteter Ausnutzung war entsprechend sehr kurz.
Betroffene Systeme
Betroffen sind laut Adobe alle unterstützten Versionslinien von Adobe Commerce, Adobe Commerce B2B und Magento Open Source, die noch nicht auf den mit APSB26-92 ausgelieferten Stand aktualisiert wurden. Das Bulletin APSB26-92 fasst neben CVE-2026-71362 weitere kritische, wichtige und moderate Schwachstellen zusammen, deren Ausnutzung laut Adobe zu Security-Feature-Bypass, Rechteausweitung und in Teilen zu Codeausführung führen kann.
| Aspekt | Details |
|---|---|
| CVE-ID | CVE-2026-71362 |
| CVSS-Score | 9.1 (kritisch) |
| Schwachstellentyp | Incorrect Authorization (CWE-863) |
| Betroffene Produkte | Adobe Commerce, Adobe Commerce B2B, Magento Open Source |
| Interaktion nötig | Nein, unauthentifiziert ausnutzbar |
| Patch-Bulletin | APSB26-92 vom 11. August 2026 |
| Aktive Ausnutzung | Ja, laut Sansec seit kurz nach Veröffentlichung |
Warum das für KMU relevant ist
Viele mittelständische Online-Shops setzen auf Magento Open Source oder Adobe Commerce, weil die Plattform trotz hoher Wartungskosten weit verbreitet und funktional stark ist. Eine Kontoübernahme betrifft nicht nur einzelne Kunden, sondern kann das Vertrauen in den gesamten Shop beschädigen. Wer personenbezogene Daten oder Zahlungsinformationen über die Session eines fremden Kunden ausliest, verstößt zudem gegen die DSGVO-Pflichten des Shop-Betreibers, unabhängig davon, wie schnell der Angriff entdeckt wird.
Besonders kritisch ist die fehlende Interaktionsanforderung: Ein Angreifer benötigt kein kompromittiertes Konto und keinen Klick des Opfers. Das senkt die Hürde für automatisierte Massenscans deutlich, wie sie Sansec bei ähnlichen Magento-Lücken in der Vergangenheit wiederholt beobachtet hat.
Was Admins jetzt tun sollten
- Adobe-Commerce- und Magento-Version prüfen und mit dem in APSB26-92 genannten Patch-Level abgleichen.
- Sicherheitsupdate auf Staging-Umgebung testen, bevor es produktiv eingespielt wird, da Adobe-Commerce-Updates historisch gelegentlich mit individuellen Extensions kollidieren.
- Nach dem Patch ungewöhnliche Session-Aktivitäten prüfen: parallele Logins von verschiedenen IPs auf demselben Kundenkonto, unerwartete Änderungen an Rechnungs- oder Lieferadressen.
- Falls eine eigene WAF oder ein Managed-Security-Dienst im Einsatz ist, klären, ob dort bereits Regeln für CVE-2026-71362 existieren.
- Bestehende Kundensitzungen nach dem Update pauschal invalidieren, um bereits gekaperte Sessions zu beenden.
- Zugriffs- und Fehlerlogs der vergangenen Tage rückwirkend auf verdächtige Muster durchsuchen, insbesondere Massen-Session-Wechsel.
Einordnung für den Betrieb
Adobe stuft das Bulletin APSB26-92 mit der Priorität 2 ein: Es gibt zum Zeitpunkt der Veröffentlichung keine bekannte aktive Ausnutzung, aber ein erhöhtes Risiko, dass sich das kurzfristig ändert. Genau dieses Szenario ist eingetreten. Für Shop-Betreiber bedeutet das: Patches aus dieser Kategorie sollten nicht auf den nächsten reguraeren Wartungstermin verschoben werden, sondern zeitnah, idealerweise innerhalb weniger Tage, produktiv ausgerollt werden.
Wer Adobe Commerce oder Magento nicht selbst betreibt, sondern eine Agentur oder einen Hosting-Dienstleister beauftragt hat, sollte aktiv nachfragen, ob und wann das Update eingespielt wurde. Die Verantwortung für Kundendaten bleibt beim Shop-Betreiber, auch wenn der technische Betrieb ausgelagert ist.
- Vorfall dokumentieren, sobald verdächtige Session-Aktivität auffällt, auch ohne bestätigten Datenabfluss.
- Interne Verantwortlichkeiten für Adobe-Commerce-Patches klar zuweisen, damit künftige Bulletins nicht liegen bleiben.
- Passwortänderungen für betroffene Kundenkonten proaktiv anstoßen, wenn ein Missbrauch vermutet wird.
Passende Anleitungen auf S-EDV
- Gitleaks mit Docker: Secrets in Repositories automatisch aufspüren - hilfreich, um versehentlich abgelegte API-Zugangsdaten in Shop-Codebasen zu finden.
- WordPress 7.0.4 sicher einspielen: Update, Backup und Imagick prüfen - vergleichbarer Ablauf für sicherheitskritische CMS-Updates.
