Zero-Day-Schwachstellen in Magento und Adobe Commerce erfordern strukturierte Notfallprozesse und klare Disclosure-Verfahren. Dieser Artikel zeigt, worauf Entscheider im Mittelstand beim Patch-Management achten müssen.

Adobe hat einen Notfall-Hotfix für die kritische Zero-Day-Schwachstelle CVE-2026-7565 in Magento und Adobe Commerce veröffentlicht: Alle Versionen von 2.4.4 bis einschließlich 2.4.9 sind betroffen, Angriffe laufen laut Sansec Forensics Team seit dem 4. September 2026 aktiv. Betreiber von Magento- und Adobe-Commerce-Shops stehen unter unmittelbarem Handlungsdruck: Die Schwachstelle erlaubt unauthentifizierten Angreifern die Ausführung beliebigen Codes auf dem Server und damit die vollständige Kompromittierung des Systems. Adobe empfiehlt zusätzlich eine vollständige Rotation aller Systemzugangsdaten. Da bislang nur ein Hotfix vorliegt, sollten Entscheider den Patch-Status ihrer Plattform sowie die eingesetzte Versionsnummer unverzüglich prüfen.

Magento Zero-Day CVE-2026-7565: Adobe gibt Notfall-Hotfix heraus

Adobe hat einen Notfall-Hotfix für eine kritisch eingestufte Zero-Day-Schwachstelle in Adobe Commerce und Magento Open Source veröffentlicht. Laut dem Cybersecurity-Unternehmen Sansec begannen aktive Angriffe auf Online-Shops bereits am 4. September 2026. Betroffen sind nach Sansec-Angaben alle Versionen von Magento 2.4.4 bis einschließlich 2.4.9.

Was ist bekannt?

Die Schwachstelle ist unter CVE-2026-7565 registriert und wird als “Improper Neutralization of Special Elements Used in a Template Engine” klassifiziert. Sie ermöglicht es Angreifern, ohne gültige Zugangsdaten schadhaften Code auf dem Zielserver auszuführen. Das Sansec Forensics Team entdeckte und meldete die Lücke; Adobe reagierte mit einem Notfall-Advisement und einem Hotfix, der nach eigenen Angaben ausschließlich an Software-Versionen aus dem August 2026 getestet wurde. Ein vollständiges Release-Update liegt noch nicht vor.

Betroffen sind laut Adobe-Sicherheitsbulletin:

Magento Open Source
Adobe Commerce B2B
Adobe Commerce (alle Plattformen)

Administratoren werden ausdrücklich aufgefordert, nach einer Kompromittierung eine vollständige Rotation aller Systemzugangsdaten vorzunehmen.

Praktische Implikationen für E-Commerce-Betreiber

1. Sofortiger Patch-Einsatz ist nicht optional

Der Hotfix von Adobe sollte umgehend eingespielt werden, sofern die eingesetzte Version in den getesteten Bereich fällt. Da es sich um eine aktiv ausgenutzte Schwachstelle handelt, ist jeder Tag ohne Patch ein kalkuliertes Risiko. Betreiber, die auf älteren Versionen als 2.4.4 arbeiten, sollten den Versionsstand ihrer Plattform dringend mit dem Advisory abgleichen.

Wer Patch-Prozesse bislang nicht systematisch automatisiert hat, findet unter /automatisierte-sicherheitspatches-enterprise-websites-cve-management/ einen weiterführenden Überblick zu strukturiertem CVE-Management. Ergänzend dazu lohnt sich ein Blick auf /patch-management-enterprise-websites-zero-day-deployment-kontrolle/.

2. Vollständige Credential-Rotation durchführen

Adobe und Sansec empfehlen nach einer potenziellen Kompromittierung die Rotation aller Systemzugangsdaten. Das umfasst Datenbankpasswörter, API-Schlüssel, Admin-Zugänge und Integrationstoken zu angebundenen Systemen wie ERP oder CRM. Für Shops mit komplexer Systemlandschaft ist dies ein erheblicher operativer Aufwand, der vorab dokumentierter Runbooks bedarf.

3. Monitoring und Anomalie-Erkennung aktivieren

Angriffe begannen laut Sansec bereits am 4. September 2026, also noch vor der öffentlichen Disclosure. Das zeigt, dass reaktives Patching allein nicht ausreicht. Betreiber sollten parallel automatisierte Sicherheitswarnungen einrichten, um kompromittierte Systeme frühzeitig zu identifizieren. Weiterführende Informationen dazu bietet /automatisierte-sicherheitswarnungen-enterprise-websites/.

Auch /automatisierte-penetrationstests-vulnerability-scanning-enterprise-websites/ ist in diesem Zusammenhang relevant, insbesondere für Shops, die regelmäßige Sicherheitsprüfungen noch nicht in ihren Betrieb integriert haben.

4. Staging und Deployment-Prozesse überprüfen

Der Adobe-Hotfix wurde nur an einem eingeschränkten Versions-Set getestet. Betreiber sollten den Patch zunächst in einer Staging-Umgebung validieren, bevor er in die Produktion übernommen wird. Strukturierte Staging- und Preview-Prozesse helfen dabei, Regressionen frühzeitig zu erkennen. Einen Überblick zu solchen Workflows gibt /staging-preview-freigaben-unternehmenswebsite-shop/.

Einordnung

CVE-2026-7565 ist kein isoliertes Einzelereignis. E-Commerce-Plattformen auf Basis von Magento und Adobe Commerce stehen regelmäßig im Fokus von Angreifern, da sie direkt an Zahlungsdaten und Kundenstammdaten angebunden sind. Mittelständische Betreiber, die Plattform-Updates bislang im Quartalsrhythmus eingespielt haben, müssen im Fall aktiv ausgenutzter Zero-Days auf deutlich kürzere Reaktionszeiten umstellen.

Quellen

Häufige Fragen

Welche Magento- und Adobe-Commerce-Versionen sind von der Zero-Day-Schwachstelle CVE-2026-7565 betroffen?

Betroffen sind alle Versionen von Magento Open Source, Adobe Commerce und Adobe Commerce B2B von Version 2.4.4 bis einschließlich 2.4.9, auf sämtlichen Plattformen. Das Cybersicherheitsunternehmen Sansec, das die Schwachstelle erstmals identifiziert und offengelegt hat, bestätigte, dass keine Version in diesem Bereich als sicher gilt. Betreiber sollten daher umgehend prüfen, ob ihre Installationen in diesen Versionsbereich fallen.

Was genau ist die Schwachstelle CVE-2026-7565 und welches Risiko besteht für Online-Shops?

Die Schwachstelle wird als “Improper Neutralization of Special Elements Used in a Template Engine” klassifiziert. Sie ermöglicht es einem entfernten, nicht authentifizierten Angreifer, schadhaften Code über manipulierte Anfragen auf dem Zielserver auszuführen. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung des betroffenen Systems führen, einschließlich des Zugriffs auf Kundendaten, Zahlungsinformationen und Backend-Zugänge. Laut Sansec begannen aktive Angriffe bereits am 4. September 2026.

Welche Sofortmaßnahmen hat Adobe bereitgestellt und wie verlässlich ist der verfügbare Hotfix?

Adobe hat im Rahmen eines Notfall-Advisorys einen Hotfix veröffentlicht, keinen vollständigen Versions-Release. Wichtig für Entscheider: Dieser Hotfix wurde ausschließlich an Software-Versionen getestet, die im August 2026 veröffentlicht wurden. Für ältere Installationen innerhalb des betroffenen Versionsbereichs ist die Kompatibilität nicht garantiert. Adobe empfiehlt dennoch, den Patch so schnell wie möglich einzuspielen und ergänzend eine vollständige Rotation aller System-Credentials durchzuführen.

Wie läuft die Vulnerability-Disclosure bei solchen Zero-Day-Schwachstellen ab und welche Rolle spielt Sansec dabei?

Sansec, ein auf E-Commerce-Sicherheit spezialisiertes Unternehmen, hat CVE-2026-7565 als erstes entdeckt und verantwortungsvoll an Adobe gemeldet. Adobe hat daraufhin ein Notfall-Advisory veröffentlicht und den Hotfix bereitgestellt. Dieses Verfahren folgt dem Prinzip der koordinierten Offenlegung: Der Entdecker informiert den Hersteller, bevor Details öffentlich werden, damit Betreiber die Möglichkeit erhalten, ihre Systeme zu schützen, bevor Angriffe in der Breite eskalieren.

Was sollten Entscheider in mittelständischen E-Commerce-Unternehmen jetzt konkret veranlassen?

Drei Maßnahmen haben oberste Priorität: Erstens, prüfen Sie unverzüglich, ob Ihre Magento- oder Adobe-Commerce-Installation eine Version zwischen 2.4.4 und 2.4.9 nutzt. Zweitens, spielen Sie den von Adobe bereitgestellten Hotfix umgehend ein und dokumentieren Sie den Patchvorgang. Drittens, führen Sie eine vollständige Rotation aller System-Credentials durch, da nicht ausgeschlossen werden kann, dass Systeme bereits kompromittiert wurden. Da Angriffe laut Sansec bereits seit dem 4. September 2026 aktiv laufen, zählt jede Stunde.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.

Zero-Day-Schwachstellen in Magento: Notfallpatching im Überblick