Adobe Commerce und Magento: Unzureichende Eingabevalidierung ermöglicht Angreifern mit hohen Berechtigungen das Ausführen von beliebigem Code (CVE-2026-95631)

Was passiert ist

Adobe Commerce, Adobe Commerce B2B und Magento Open Source sind von einer Schwachstelle durch unzureichende Eingabevalidierung betroffen, die als CVE-2026-95631 geführt wird. Laut CVE-Eintrag könnte ein Angreifer mit hohen Berechtigungen diese Schwachstelle ausnutzen, um beliebigen Code im Kontext des aktuellen Benutzers auszuführen. Für die Ausnutzung ist keine Benutzerinteraktion erforderlich; der Scope ist geändert.

Der CVSS-3.1-Wert beträgt 8,7 und wird als hoch eingestuft. Der Angriffsvektor ist netzwerkbasiert, die Angriffskomplexität ist gering, es sind hohe Berechtigungen erforderlich und es ist keine Benutzerinteraktion erforderlich. Die Auswirkungen auf Integrität und Verfügbarkeit sind hoch; auf die Vertraulichkeit gibt es keine Auswirkungen. Der CVE-Eintrag verzeichnet keine Ausnutzung; CISA KEV führt das Problem nicht auf, und eine öffentliche Offenlegung wurde nicht verzeichnet.

Wer betroffen ist

Betroffen sind die Builds vom September 2026 bis einschließlich:

• Adobe Commerce: 2.4.9-2026-sep, 2.4.8-2026-sep, 2.4.7-2026-sep, 2.4.6-2026-sep, 2.4.5-2026-sep, 2.4.4-2026-sep
• Adobe Commerce B2B: 1.5.3-2026-sep, 1.5.2-2026-sep, 1.4.2-2026-sep, 1.3.4-2026-sep, 1.3.3-2026-sep
• Magento Open Source: 2.4.9-2026-sep, 2.4.8-2026-sep, 2.4.7-2026-sep

Diese Produkte werden in der Regel für öffentliche Storefronts und Backoffice-Systeme eingesetzt. Wenn Sie Adobe Commerce oder Magento mit einem dieser Builds betreiben, sind Sie betroffen.

Was jetzt zu tun ist

1. Spielen Sie die korrigierten Builds von Adobe ein. Als korrigiert angegeben sind folgende Versionen:

• Adobe Commerce: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct, 2.4.6-2026-oct, 2.4.5-2026-oct, 2.4.4-2026-oct
• Adobe Commerce B2B: 1.5.4-alpha1, 1.5.3-2026-oct, 1.5.2-2026-oct, 1.4.2-2026-oct, 1.3.4-2026-oct, 1.3.3-2026-oct
• Magento Open Source: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct

1. Der CVE-Eintrag nennt keine Problemumgehung. Behandeln Sie das Einspielen des korrigierten Builds als die wichtigste Schutzmaßnahme.
2. Wenn Sie die Sicherheitsupdates nicht sofort einspielen können, schränken Sie den Zugriff auf die Commerce-Administration ein und überprüfen Sie Konten mit hohen Berechtigungen. Da die Ausnutzung hohe Berechtigungen erfordert, verringert eine Reduzierung der Anzahl und des Berechtigungsumfangs privilegierter Benutzer das unmittelbare Risiko.

Wie man es erkennt

Adobe hat zu dieser CVE keine Indikatoren für eine Kompromittierung veröffentlicht. Da für die Ausnutzung hohe Berechtigungen erforderlich sind, sollten Sie den Fokus auf Administrations- und Integrationskonten legen, die Code verändern, Pakete bereitstellen oder die Serverkonfiguration ändern. Vergleichen Sie kürzlich erfolgte Änderungen mit Ihrer Deployment-Pipeline; unerwartete Aktionen eines privilegierten Kontos sind vor allem zu prüfen.

Eine öffentliche Ausnutzung oder Offenlegung wurde bislang nicht verzeichnet, daher sollte die routinemäßige Überwachung verhältnismäßig sein.

Über den Patch hinaus

Eine Kompromittierung der Commerce-Plattform ist nicht nur ein Website-Problem, sondern ein kundenorientiertes Geschäftssystem, hinter dem Bestell- und Administrationszugänge stehen. Ein Penetrationstest und eine Überprüfung der Härtung im Rahmen von Implementierungs- und Bewertungsleistungen können zeigen, welche Wege einem privilegierten Benutzer offenstehen. Mit Managed Detection and Response lassen sich Aktivitäten nach einer Kompromittierung in SIEM und EDR erkennen, bevor daraus ein größerer Vorfall wird.