Magento und Adobe Commerce: Zwei Lücken mit 10 von 10 Punkten, eine aktiv ausgenutzt

Für Magento-Shops waren die letzten Wochen hart. Adobe hat im September und Oktober zwei Lücken geschlossen, die beide mit 10 von 10 Punkten eingestuft sind. Eine davon wurde ausgenutzt, bevor es den Patch gab.

Das Wichtigste in Kürze

• StyleSmuggler (CVE-2026-75650): Ausführung von Code ohne Login. Laut Adobe aktiv ausgenutzt, laut Sansec schon ab dem 4. September, drei Tage vor dem Hotfix.
• BlockStrap (CVE-2026-103849): ebenfalls Code ohne Login, behoben am 13. Oktober. Angriffe sind bisher nicht bekannt. Der Hotfix für StyleSmuggler schützt laut Sansec nicht davor, du brauchst beide.
• Magento Open Source 2.4.6 bekommt für BlockStrap kein Update mehr. Für 2.4.0 bis 2.4.3 gibt es von Adobe gar keine Korrekturen.
• Ein Patch räumt einen schon gehackten Shop nicht auf.

Was ist passiert?

StyleSmuggler, veröffentlicht am 7. September 2026 (APSB26-146): Über eine Lücke in der Vorlagenverarbeitung können Angreifer ohne Login eigenen Code auf dem Server ausführen. Adobe schreibt: „Adobe is aware of CVE-2026-75650 being exploited in the wild.“ Die US-Behörde CISA hat die Lücke am 8. September in ihre Liste aktiv ausgenutzter Lücken aufgenommen. Sansec hat bei Opfern Hintertüren gefunden, die sich als Systemprogramme tarnen. Betroffen war auch ein Shop, der die Patches von Juli und August eingespielt hatte.

BlockStrap, veröffentlicht am 13. Oktober 2026 (APSB26-153): wieder Code ohne Login, dazu weitere kritische Lücken im selben Paket. Adobe kennt bisher keine Angriffe. Sansec konnte vier Angriffswege innerhalb von 24 Stunden nachbauen und hält Adobes Einstufung als Priorität 2 für zu niedrig.

Außerdem: CVE-2026-71362 (APSB26-92, August): Übernahme fremder Kundenkonten ohne Login. Adobe schrieb im August, keine Angriffe zu kennen. CISA hat die Lücke am 24. September trotzdem als aktiv ausgenutzt gelistet.

Bist du betroffen?

Magento-Version	Status
2.4.7, 2.4.8, 2.4.9	Patches für alle Lücken verfügbar
Adobe Commerce 2.4.4 bis 2.4.6	Patches verfügbar, im erweiterten Support
Magento Open Source 2.4.6	Hotfix für StyleSmuggler, kein Update für BlockStrap
2.4.0 bis 2.4.3, 2.3, 2.2	Keine Korrekturen von Adobe

Laut Adobe gilt der erweiterte Support nur für Adobe Commerce, nicht für Magento Open Source.

Was du jetzt tun solltest

1. Beide Patches einspielen: den Hotfix VULN-39341 und die Oktober-Version 2.4.x-2026-oct.
2. Auf Spuren prüfen. Sansec schreibt: „Patching does not clean a store that was already compromised.“ Adobe empfiehlt, den Verschlüsselungsschlüssel und alle Zugangsdaten zu wechseln.
3. Magento Open Source 2.4.6 oder älter: auf 2.4.8 oder 2.4.9 aktualisieren. Das ist meist auch ein PHP-Update, 2.4.9 braucht PHP 8.5.
4. PHP prüfen. Mit PHP2Shell kam im Oktober eine Lücke in PHP selbst dazu, vorgeführt gegen Magento 2.4.9.

Quellen

• Adobe: APSB26-146, 7. September 2026
• Adobe: APSB26-153, 13. Oktober 2026
• Adobe: APSB26-92, August 2026
• Adobe: Lifecycle Policy
• Sansec: StyleSmuggler, BlockStrap und Account Takeover APSB26-92