Open-Source-Geschäftsplattformen, Woche 42 2026: 115 Schwachstellen in ERPNext, Adobe Commerce und SuiteCRM

Das Release im Überblick

Die Maintainer von Frappe / ERPNext, Adobe Commerce / Magento, SuiteCRM, Dolibarr, TYPO3 und Shopware haben in der Woche vom 12. bis 18. Oktober 2026 insgesamt 115 Schwachstellen veröffentlicht. Davon tragen 104 eine CVE-Kennung, bei 11 handelt es sich um Sicherheitshinweise ohne CVE-Kennung. Dem Schweregrad nach sind 7 Einträge kritisch, 65 hoch, 40 mittel und 3 unbewertet. Keiner der Einträge ist im CISA-Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) enthalten, und keiner ist in den Sicherheitshinweisen der Hersteller als aktiv ausgenutzt gekennzeichnet.

Auf Frappe / ERPNext entfallen 92 Schwachstellen, auf Adobe Commerce / Magento 11, auf SuiteCRM 9 und auf Dolibarr, TYPO3 und Shopware jeweils eine. Die Schwachstellen, die die Priorisierung der Sicherheitsupdates bestimmen sollten, konzentrieren sich auf Adobe Commerce, Frappe Framework und SuiteCRM.

Was am meisten zählt

Frappe Framework. GHSA-9pp9-wgp9-3p3j ist eine kritische Path-Traversal-Schwachstelle in der Datei-Upload-Verarbeitung. Ein authentifizierter Benutzer kann eine Datei außerhalb des vorgesehenen Speicherverzeichnisses schreiben und dadurch Remotecodeausführung erzielen. Es ist keine Problemumgehung verfügbar; ein Update ist erforderlich. Behoben ist die Schwachstelle in Frappe Framework 16.34.0 und 15.121.0.

Adobe Commerce / Magento. CVE-2026-103849 hat einen CVSS-Wert von 10,0 und beschreibt eine unsachgemäße Neutralisierung spezieller Elemente in einer Template-Engine. Sie kann ohne Benutzerinteraktion zu beliebiger Codeausführung führen. CVE-2026-92909 mit 9,8 ist eine Schwachstelle durch fehlerhafte Autorisierung, die ebenfalls ohne Benutzerinteraktion zu beliebiger Codeausführung führen kann. CVE-2026-100133 und CVE-2026-91013 sind persistente Cross-Site-Scripting-Schwachstellen, beide mit einem Wert von 9,3. Die Releases vom Oktober 2026 beheben diese Probleme.

SuiteCRM. GHSA-4773-c8fh-3rww ist eine kritische Code-Injection auf Betriebssystemebene im Studio Dropdown Editor. Ein Administrator kann Code persistent als www-data ausführen. GHSA-6c7r-7g6m-29f9 ist eine zeitbasierte blinde SQL-Injection über die Klausel ORDER BY in AOR_Reports, bewertet mit 8,8. GHSA-rxx9-4rg7-c3qp ist eine Schwachstelle zur Rechteausweitung, die es jedem authentifizierten Benutzer ermöglicht, ACL-Rollen und die Administrationskonfiguration zu ändern. Alle Schwachstellen sind in SuiteCRM 8.10.2 und 7.15.2 behoben.

In dieser Reihenfolge patchen

1. Spielen Sie zuerst die Sicherheitsupdates für Adobe Commerce und Magento Open Source ein. CVE-2026-103849 und CVE-2026-92909 sind ohne Benutzerinteraktion über das Netzwerk erreichbar und können zu beliebiger Codeausführung führen. Installieren Sie die Releases vom Oktober 2026: Adobe Commerce 2.4.4-2026-oct, 2.4.5-2026-oct, 2.4.6-2026-oct, 2.4.7-2026-oct, 2.4.8-2026-oct, 2.4.9-2026-oct oder 2.4.10-alpha1; Adobe Commerce B2B 1.3.3-2026-oct, 1.3.4-2026-oct, 1.4.2-2026-oct, 1.5.2-2026-oct, 1.5.3-2026-oct oder 1.5.4-alpha1; Magento Open Source 2.4.7-2026-oct, 2.4.8-2026-oct, 2.4.9-2026-oct oder 2.4.10-alpha1.
2. Spielen Sie als Nächstes die Sicherheitsupdates für Frappe Framework ein. Für GHSA-9pp9-wgp9-3p3j gibt es keine Problemumgehung; aktualisieren Sie auf 16.34.0 oder 15.121.0.
3. Spielen Sie die Sicherheitsupdates für SuiteCRM ein. Aktualisieren Sie auf 8.10.2 oder 7.15.2, um die Code-Injection auf Betriebssystemebene, die SQL-Injection und die Schwachstelle zur Rechteausweitung zu beheben.
4. Spielen Sie anschließend die übrigen Updates mit hohem Schweregrad für ERPNext und die anderen Produkte ein. Priorisieren Sie dabei Instanzen, die aus dem Internet erreichbar sind. Für diese Schwachstellengruppe besteht keine CISA-KEV-Frist.

Über den Patch hinaus

Derartige Updates lassen sich besser bewältigen, wenn die zugrunde liegenden Injection- und Zugriffskontrollschwächen entdeckt werden, bevor ein Angreifer sie findet. Unsere Implementierungsleistungen und Sicherheitsbewertungen umfassen Penetrationstests und Härtung, die auf Injection-, Deserialisierungs- und Authentifizierungsschwächen der hier veröffentlichten Art abzielen. Für Organisationen, die während der Einplanung von Sicherheitsupdates operative Überwachung wünschen, lassen sich mit Managed Detection & Response Codeausführung, Rechteausweitung und der Missbrauch von Zugangsdaten erkennen, die nach einer Kompromittierung durch diese Schwachstellen zurückbleiben würden.