Adobe Commerce und Magento: APSB26-73 behebt ausgenutzte Datei-Upload-Schwachstelle und weitere Sicherheitslücken (CVE-2026-48356)

Was passiert ist

CVE-2026-48356 ist eine Schwachstelle durch uneingeschränktes Hochladen von Dateien (CWE-434) in Adobe Commerce. Ein Angreifer kann sie nutzen, um Code im Kontext des aktuellen Benutzers auszuführen und so möglicherweise erweiterte Zugriffsrechte oder die Kontrolle über das Konto oder die Sitzung des Opfers zu erlangen. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine speziell präparierte URL aufrufen oder mit einer kompromittierten Webseite interagieren. Der CVSS-3.1-Wert beträgt 9,3 (kritisch), und der Scope ist verändert (changed).

CISA hat CVE-2026-48356 in den Katalog Known Exploited Vulnerabilities (KEV) aufgenommen; in der SSVC-Einstufung von CISA wird die Ausnutzung als aktiv geführt. Adobe selbst hat keine eigene Stellungnahme zur Ausnutzung veröffentlicht.

Der Sicherheitshinweis APSB26-73 behandelt außerdem CVE-2026-48358 (fehlerhafte Codierung bzw. fehlerhaftes Escaping), CVE-2026-47994 und CVE-2026-47995 (persistentes Cross-Site-Scripting), CVE-2026-47988, CVE-2026-47984, CVE-2026-47996 und CVE-2026-47997 (fehlerhafte Autorisierung), CVE-2026-47992 (SQL-Injection) und CVE-2026-48000 (offene Weiterleitung). Diese übrigen CVEs sind nicht im CISA-KEV-Katalog aufgeführt.

Wer betroffen ist

Betroffen sind Adobe Commerce bis einschließlich 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15, 2.4.5-p17 und 2.4.4-p18; Adobe Commerce B2B bis einschließlich 1.5.3, 1.5.2-p5, 1.4.2-p10, 1.3.4-p17 und 1.3.3-p18; Magento Open Source bis einschließlich 2.4.9, 2.4.8-p5, 2.4.7-p10 und 2.4.6-p15 sowie Adobe Commerce Events bis einschließlich 1.20.0. Betreiberinnen und Betreiber sollten prüfen, ob ihre Version zu den genannten gehört. Die korrigierten Versionen sind unten aufgeführt.

Was jetzt zu tun ist

1. Spielen Sie die korrigierten Versionen von Adobe ein: Adobe Commerce 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul, 2.4.5-2026-jul und 2.4.4-2026-jul; Adobe Commerce B2B 1.5.3-2026-jul, 1.5.2-2026-jul, 1.4.2-2026-jul, 1.3.4-2026-jul und 1.3.3-2026-jul; Magento Open Source 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul und 2.4.6-2026-jul; sowie Adobe Commerce Events 1.21.0.
2. Priorisieren Sie CVE-2026-48356. Die CISA-KEV-Frist endet am 10. November 2026. Die von CISA geforderte Maßnahme besteht darin, die Schutzmaßnahmen des Herstellers anzuwenden, die Vorgaben aus BOD 26-04 zu befolgen und die Verwendung des Produkts einzustellen, falls keine Schutzmaßnahmen verfügbar sind.
3. Prüfen Sie die Indikatoren für eine Kompromittierung von Sansec in den Referenzen, um Hinweise auf eine frühere Ausnutzung zu erkennen. Im Sicherheitshinweis wurde keine Problemumgehung veröffentlicht.

Wie man es erkennt

Der Sicherheitshinweis von Adobe führt keine Indikatoren für eine Kompromittierung auf. Die Referenzen enthalten Forschungsseiten von Sansec mit Indikatoren für eine Kompromittierung für Aktivitäten des Magento-CMS-Block-Loaders; Sicherheitsteams können diese nutzen, um auf eine damit zusammenhängende Ausnutzung zu prüfen. Da der CISA-KEV-Katalog eine aktive Ausnutzung verzeichnet, sollte CVE-2026-48356 bei der Erkennung priorisiert werden.

Über den Patch hinaus

Über das Patchen hinaus macht die von CISA für CVE-2026-48356 verzeichnete aktive Ausnutzung Erkennung und Reaktion zur ersten Verteidigungslinie. Unser Angebot Managed Detection and Response (MDR) und unser Incident Response Retainer unterstützen Sie dabei. Bei den in diesem Sicherheitshinweis beschriebenen Schwachstellen durch fehlerhafte Autorisierung, die ohne Anmeldedaten über das Netzwerk erreichbar sind, können Virtual CISO Services (vCISO) helfen, exponierte Dienste oder offene Ports zu erkennen, bevor sie ausgenutzt werden.