Adobe Commerce: CISA meldet CVE-2026-48356 als aktiv ausgenutzt

Die US-Cybersicherheitsbehörde CISA hat am 27. Oktober 2026 die Schwachstelle CVE-2026-48356 in Adobe Commerce und Magento Open Source in ihren Katalog aktiv ausgenutzter Lücken (KEV) aufgenommen. Es handelt sich um einen uneingeschränkten Datei-Upload (CWE-434), der zur Ausführung von Code führen kann. US-Bundesbehörden müssen bis zum 10. November 2026 reagieren. Ob Ransomware-Gruppen die Lücke nutzen, ist laut CISA unbekannt.

Betroffen sind Shops auf Adobe Commerce, Adobe Commerce B2B und Magento Open Source der Reihen 2.4.4 bis 2.4.9, die das Sicherheitsupdate APSB26-73 vom Juli 2026 nicht eingespielt haben. Wer den Juli-Patch installiert hat, ist gegen diese Lücke geschützt, sollte aber auf Spuren früherer Angriffe prüfen. Ungepatchte, öffentlich erreichbare Shops gehören heute aktualisiert, nicht erst im nächsten Wartungsfenster.

Was ist passiert?

CISA nahm CVE-2026-48356 zusammen mit einer Brotli-Lücke auf Grundlage von Belegen für aktive Ausnutzung in den Katalog auf. Technische Details zu den aktuellen Angriffen nennt die Behörde nicht. Adobe hatte die Lücke bereits am 14. Juli 2026 im Sicherheitsbulletin APSB26-73 geschlossen, zusammen mit 13 weiteren Schwachstellen. In der damaligen Fassung des Bulletins schrieb Adobe, keine Angriffe in freier Wildbahn zu kennen. Die aktuelle Fassung der Adobe-Seite war beim Abruf in der Nacht zum 28. Oktober nicht erreichbar, ob Adobe den Hinweis inzwischen geändert hat, ist daher offen.

Das Sicherheitsunternehmen Sansec ordnet CVE-2026-48356 der bereits im März beschriebenen Lücke PolyShell zu. Laut Sansec nimmt die REST-API von Magento bei benutzerdefinierten Warenkorb-Optionen Dateien entgegen, ohne Option, Optionstyp oder Dateiendung zu prüfen. Über die Gastwarenkorb-Endpunkte /V1/guest-carts/:cartId/items ist dafür keine Anmeldung nötig. Angreifer laden Polyglot-Dateien hoch, die als GIF oder PNG durchgehen, aber PHP-Code enthalten. Sie landen unter pub/media/custom_options/quote/. Ob daraus Codeausführung oder gespeichertes Cross-Site-Scripting wird, hängt von der Webserver-Konfiguration ab. Sansec meldete Massenscans ab dem 19. März 2026, BleepingComputer berichtete damals über Angriffe auf mehr als die Hälfte der verwundbaren Shops.

Wer ist betroffen?

• Adobe Commerce 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15, 2.4.5-p17, 2.4.4-p18 und älter. Behoben in den Versionen mit Zusatz 2026-jul, etwa 2.4.8-2026-jul.
• Adobe Commerce B2B 1.5.3, 1.5.2-p5, 1.4.2-p10, 1.3.4-p17, 1.3.3-p18 und älter, behoben in den jeweiligen 2026-jul-Versionen.
• Magento Open Source 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15 und älter, behoben in 2.4.6-2026-jul bis 2.4.9-2026-jul.
• Adobe Commerce Events 1.6.0 bis 1.20.0, behoben in 1.21.0.

Wie kritisch ist das?

Sehr. Adobe stuft die Lücke als kritisch ein, die NVD führt einen CVSS-3.1-Wert von 9.3. Der Eintrag nennt eine Nutzerinteraktion als Voraussetzung, Sansec beschreibt dagegen Uploads ohne Anmeldung über die API. Entscheidend ist: Hochgeladene Dateien bleiben laut Sansec auf der Platte, auch wenn der Webserver ihre Ausführung derzeit blockiert. Eine spätere Konfigurationsänderung oder ein Serverumzug kann sie aktivieren. Nach erfolgreichen Angriffen beobachtete Sansec Hintertüren wie accesson.php in vielen Verzeichnissen und nachgeladenes JavaScript in CMS-Blöcken.

Was sollten Admins jetzt tun?

• Version prüfen: bin/magento --version auf dem Server ausführen und mit der Liste oben abgleichen. Fehlt der Stand 2026-jul oder neuer, ist der Shop verwundbar.
• APSB26-73 bzw. die aktuelle Patchversion sofort einspielen, bei Adobe Commerce Events auf 1.21.0 aktualisieren.
• Das Verzeichnis pub/media/custom_options/ auf PHP-, PHTML- und PHAR-Dateien sowie ungewöhnliche Bilder durchsuchen und den Webzugriff darauf sperren.
• Nach accesson.php in Unterordnern wie assets/images/ suchen und CMS-Seiten sowie statische Blöcke auf fremdes JavaScript prüfen.
• Bei Funden Admin-Passwörter, API-Schlüssel und Integrations-Tokens erneuern und den Shop aus einem sauberen Stand neu aufsetzen.

Einordnung für Unternehmen

Für Händler ist das Muster bekannt: Magento-Lücken werden schnell massenhaft gescannt, und ein kompromittierter Shop führt oft zu Kartenskimmern und Datenschutzvorfällen. Die KEV-Aufnahme ist für Unternehmen außerhalb der US-Bundesverwaltung nicht verbindlich, aber ein klares Signal, dass Angriffe belegt sind. Wer den Shop bei einer Agentur oder einem Hoster betreibt, sollte heute schriftlich nachfragen, welcher Patchstand läuft und ob das Upload-Verzeichnis geprüft wurde.

Passende Anleitungen auf S-EDV

• StyleSmuggler: Kritische Magento-Lücke CVE-2026-75650 wird aktiv ausgenutzt
• Adobe Commerce CVE-2026-71362: Angriffe auf Kundenkonten
• PHP-Ausführung in Upload-Ordnern per .htaccess und Nginx verhindern

Quellen

• CISA: CISA Adds Two Known Exploited Vulnerabilities to Catalog (27.10.2026)
• CISA: Known Exploited Vulnerabilities Catalog, Eintrag CVE-2026-48356
• Adobe: Security update available for Adobe Commerce, APSB26-73 (14.07.2026)
• NVD: CVE-2026-48356
• Sansec: PolyShell, unrestricted file upload in Magento and Adobe Commerce
• BleepingComputer: PolyShell attacks target 56% of all vulnerable Magento stores