Open-Source-Geschäftsplattformen, Woche 37 2026: Ausgenutzte Template-Engine-Schwachstelle in Adobe Commerce steht an der Spitze von 17 Korrekturen

Das Release im Überblick

Der Wochenüberblick für Woche 37 umfasst 17 CVEs im Betrachtungsumfang: 9 in Adobe Commerce, 2 in Dolibarr, 2 in TYPO3 CMS, 2 im Frappe Framework, 1 in WooCommerce und 1 in PrestaShop. Die Verteilung nach Schweregrad: 3 kritische, 10 hohe, 3 mittlere und 1 nicht bewertete Schwachstelle.

Die höchste Priorität hat CVE-2026-75650, eine unsachgemäße Neutralisierung spezieller Elemente in einer Template-Engine (CWE-1336) in Adobe Commerce. Sie weist einen CVSS-3.1-Wert von 10 auf und kann ohne Benutzerinteraktion zu beliebiger Codeausführung führen. CISA hat die Schwachstelle am 8. September 2026 in die KEV aufgenommen, mit Frist für die erforderliche Maßnahme bis 11. September 2026; CISA SSVC bewertet die Ausnutzung als aktiv, und ENISA EUVD verzeichnet eine Ausnutzung seit dem 8. September 2026.

Was am meisten zählt

Die CVEs, die Sie zuerst prüfen sollten, sind:

Adobe Commerce und Magento Open Source

• CVE-2026-75650 – Template-Engine-Schwachstelle mit CVSS 10, ohne Benutzerinteraktion, laut CISA KEV, CISA SSVC und ENISA EUVD aktiv ausgenutzt. Dies ist die höchste Priorität.
• CVE-2026-76201 und CVE-2026-76200 – gespeichertes XSS mit CVSS 9,3; schädliche Skripte in Formularfeldern können im Browser eines Opfers ausgeführt werden und möglicherweise ein Konto oder eine Sitzung übernehmen.
• CVE-2026-77774 – Fehler in der Autorisierung, CVSS 8,6, über das Netzwerk ohne vorherige Authentifizierung; könnte unberechtigten Lesezugriff ermöglichen.
• CVE-2026-77109 – Fehler in der Autorisierung, CVSS 8,6, über das Netzwerk ohne vorherige Authentifizierung; Rechteausweitung auf eingeschränkte Ressourcen.
• CVE-2026-76202 – Fehler in der Autorisierung, CVSS 8,2, über das Netzwerk ohne vorherige Authentifizierung; erweiterter Zugriff auf vertrauliche Informationen.

Dolibarr

• CVE-2026-89013 – Autorisierungsumgehung, CVSS 8,7; nicht authentifizierte Angreifer können über einen präparierten hashp-Parameter im Dokumentenspeicher beliebige Dateien lesen, darunter Anwendungsprotokolle, hochgeladene Geschäftsdokumente, Datenbanksicherungen mit Passwort-Hashes und Dateien, die anderen Einheiten im Multicompany-Betrieb gehören.

TYPO3 CMS

• CVE-2026-85400 – fehlende Autorisierung in Lowlevel-Befehlen, CVSS 7,5; Backend-Administratoren ohne System-Maintainer-Berechtigungen könnten die Befehle configuration:read, configuration:set und configuration:show einplanen und dadurch möglicherweise System-Maintainer-Berechtigungen erlangen oder einen Denial-of-Service verursachen. Für die Ausnutzung ist ein Administrator-Benutzerkonto im Backend erforderlich.

In dieser Reihenfolge patchen

1. Spielen Sie den Adobe-Hotfix für CVE-2026-75650 auf betroffenen Installationen von Adobe Commerce, Adobe Commerce B2B und Magento Open Source ein. Dies ist die einzige aktiv ausgenutzte Schwachstelle und der einzige KEV-Eintrag; die Frist für die erforderliche Maßnahme endet am 11. September 2026.
2. Stellen Sie aus dem Internet erreichbare Shops mit Adobe Commerce, Adobe Commerce B2B und Magento Open Source auf die Release-Linie September 2026 um. Damit werden die gespeicherten XSS- und die Probleme mit fehlerhafter Autorisierung in dieser Adobe-Commerce-Gruppe behoben. Zu den korrigierten Versionen gehören Adobe Commerce 2.4.9-2026-sep, 2.4.8-2026-sep, 2.4.7-2026-sep, 2.4.6-2026-sep, 2.4.5-2026-sep und 2.4.4-2026-sep; Adobe Commerce B2B 1.5.3-2026-sep, 1.5.2-2026-sep, 1.4.2-2026-sep, 1.3.4-2026-sep und 1.3.3-2026-sep sowie Magento Open Source 2.4.9-2026-sep, 2.4.8-2026-sep und 2.4.7-2026-sep.
3. Aktualisieren Sie Dolibarr auf 24.0.1, insbesondere wenn Endpunkte des Dokumentenspeichers aus dem Internet erreichbar sind. Damit wird CVE-2026-89013 behoben.
4. Aktualisieren Sie WooCommerce auf 11.1.0 und TYPO3 CMS auf 14.3.7, um CVE-2026-48888 beziehungsweise CVE-2026-85400 zu beheben.
5. Prüfen Sie die verbleibenden Einträge dieser Woche: CVE-2026-89012 in Dolibarr, CVE-2026-84186 in PrestaShop, CVE-2026-77132 in TYPO3 CMS sowie GHSA-55m4-gj6h-q6rc und GHSA-78c5-55xg-jm7m im Frappe Framework. Setzen Sie die Empfehlungen des jeweiligen Herstellers um, sofern zutreffend.

Über den Patch hinaus

Da CVE-2026-75650 bereits aktiv ausgenutzt wird, ist Managed Detection and Response (MDR) die erste Verteidigungslinie für die Erkennung und Beantwortung aktiver Angriffsversuche. Für die Commerce- und ERP-Plattformen selbst können wir mit Implementierungs- und Bewertungsleistungen öffentlich erreichbare Shops und die bei Schwachstellen wie CVE-2026-89013 relevanten Dokumentenspeicher-Endpunkte prüfen und härten.