Adobe Commerce: Fehlerhafte Autorisierung ermöglicht Angreifern mit geringen Berechtigungen unberechtigten Lese- und Schreibzugriff (CVE-2026-92908)

Was passiert ist

Adobe Commerce, Adobe Commerce B2B und Magento Open Source sind von einer Schwachstelle durch fehlerhafte Autorisierung (CWE-863) betroffen. Ein Angreifer mit geringen Berechtigungen kann die Schwachstelle über das Netzwerk mit geringer Angriffskomplexität und ohne Benutzerinteraktion ausnutzen, Sicherheitsmaßnahmen umgehen und unberechtigten Lese- und Schreibzugriff erlangen. Die Verfügbarkeit ist nur in begrenztem Umfang betroffen.

Adobe bewertet dieses Problem mit CVSS 3.1 und einem Score von 8,3 als hohen Schweregrad. Der Vektor bildet einen Netzwerkangriff, geringe erforderliche Berechtigungen, hohe Auswirkungen auf Vertraulichkeit und Integrität sowie geringe Auswirkungen auf die Verfügbarkeit ab. Für dieses Problem sind weder eine Ausnutzung noch eine öffentliche Offenlegung dokumentiert.

Wer betroffen ist

Betroffen sind Adobe Commerce in den Versionen bis einschließlich 2.4.9-2026-sep, 2.4.8-2026-sep, 2.4.7-2026-sep, 2.4.6-2026-sep, 2.4.5-2026-sep und 2.4.4-2026-sep. Betroffen sind Adobe Commerce B2B in den Versionen bis einschließlich 1.5.3-2026-sep, 1.5.2-2026-sep, 1.4.2-2026-sep, 1.3.4-2026-sep und 1.3.3-2026-sep. Betroffen sind Magento Open Source in den Versionen bis einschließlich 2.4.9-2026-sep, 2.4.8-2026-sep und 2.4.7-2026-sep. Dabei handelt es sich um aus dem Internet erreichbare Commerce-Plattformen; Storefront-, Admin- und Integrations-Endpunkte sind daher häufig aus dem Netzwerk erreichbar.

Was jetzt zu tun ist

1. Spielen Sie die passende korrigierte Version gemäß dem Sicherheitshinweis von Adobe ein. Adobe Commerce: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct, 2.4.6-2026-oct, 2.4.5-2026-oct oder 2.4.4-2026-oct. Adobe Commerce B2B: 1.5.4-alpha1, 1.5.3-2026-oct, 1.5.2-2026-oct, 1.4.2-2026-oct, 1.3.4-2026-oct oder 1.3.3-2026-oct. Magento Open Source: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct oder 2.4.7-2026-oct.

1. Wenn Sie die Sicherheitsupdates nicht sofort einspielen können, schränken Sie den Zugriff auf die Admin- und Integrationsschnittstellen von Adobe Commerce ein und prüfen Sie Konten mit geringen Berechtigungen auf ungewöhnliche Lese- oder Schreibaktivitäten. Adobe hat nicht angegeben, ob eine Problemumgehung existiert.

Wie man es erkennt

Prüfen Sie die Admin- und API-Zugriffsprotokolle von Adobe Commerce auf unberechtigte Lese- oder Schreibaktionen von Konten mit geringen Berechtigungen, insbesondere bei Änderungen an Katalog-, Bestell- oder Konfigurationsdaten. Adobe hat für dieses Problem keine spezifischen Indikatoren für eine Kompromittierung veröffentlicht.

Über den Patch hinaus

Eine aus dem Internet erreichbare Commerce-Plattform ist Teil der öffentlichen Angriffsfläche Ihres Unternehmens. Eine Umgehung der Autorisierung mit geringen Berechtigungen kann die Integrität von Katalog-, Bestell- und Inhaltsdaten beeinträchtigen, bevor jemand dies bemerkt. Unsere Implementierungs- und Bewertungsleistungen können Ihre Adobe-Commerce-Bereitstellung testen und deren Härtung überprüfen. Lieferkettenschutz & Drittparteienrisiko kann die in Ihrer Systemlandschaft eingesetzten Adobe-Commerce-Versionen und die Fristen zum Einspielen der Sicherheitsupdates verfolgen, die die Gefährdung bestimmen.