Sicherheitswarnungen · 27. Oktober 2026
Magento und Adobe Commerce: Online-Shops werden über Datei-Upload übernommen
Über eine Lücke in Magento und Adobe Commerce laden Angreifer Schadcode auf Online-Shops. Die US-Behörde CISA führt sie seit 27. Oktober als aktiv ausgenutzt. Das Update von Adobe gibt es seit Juli.
Worum es geht
Adobe Commerce und Magento Open Source
Magento und Adobe Commerce sind verbreitete Shop-Systeme, auch bei Händlern in Österreich. Die Lücke mit dem Namen PolyShell steckt in der Programmierschnittstelle des Shops: Sie erlaubt das Hochladen von Dateien, die nur wie Bilder aussehen, in Wahrheit aber Programmcode enthalten. Je nach Einstellung des Webservers kann der Angreifer diesen Code danach auf dem Server ausführen.
Ein Konto braucht der Angreifer laut den Forschern von Sansec nicht, der Weg über einen Gast-Warenkorb genügt. Seit März laufen massenhafte Angriffe: Dabei wurden Hintertüren auf Shops abgelegt und Skripte in die Shop-Seiten eingeschleust, die Zahlungsdaten der Kunden abgreifen können. Adobe hat die Lücke im Juli mit dem Sicherheitsupdate APSB26-73 geschlossen.
Am 27. Oktober hat die US-Behörde CISA die Lücke in ihre Liste aktiv ausgenutzter Schwachstellen aufgenommen. Wichtig: Das Update verhindert nur neue Uploads. Dateien, die Angreifer schon vorher abgelegt haben, bleiben auf dem Server und müssen gesucht und entfernt werden.
Betroffen
- Adobe Commerce 2.4.9 sowie 2.4.8-p5, 2.4.7-p10, 2.4.6-p15, 2.4.5-p17, 2.4.4-p18 und älter
- Magento Open Source 2.4.9 sowie 2.4.8-p5, 2.4.7-p10, 2.4.6-p15 und älter
- Adobe Commerce B2B 1.5.3 sowie 1.5.2-p5, 1.4.2-p10, 1.3.4-p17, 1.3.3-p18 und älter
Behoben
- Versionen mit dem Zusatz „2026-jul“ aus dem Adobe-Update APSB26-73 (z. B. 2.4.9-2026-jul) oder der passende Einzel-Patch
- Adobe Commerce Events 1.21.0
Was jetzt zu tun ist
Die nächsten Schritte.
- 01
Beim Shop-Betreuer oder der Agentur nachfragen, ob der Shop auf Magento oder Adobe Commerce läuft und welche Version installiert ist.
- 02
Das Adobe-Update APSB26-73 einspielen; ältere Shops vorher auf den neuesten Patch-Stand ihres Versionszweigs bringen.
- 03
Den Ordner pub/media/custom_options/ auf unbekannte Dateien prüfen, besonders Dateien mit Endung .php, .phtml oder .phar, und den Server nach der Datei accesson.php durchsuchen lassen.
- 04
Inhaltsblöcke und Seiten im Shop auf fremde, eingeschleuste Skripte kontrollieren und unbekannte Administratorkonten löschen.
- 05
Den Zugriff auf den Ordner pub/media/custom_options/ im Webserver sperren lassen, damit dort abgelegte Dateien nicht ausgeführt werden.
- 06
Nach einem Fund die Passwörter für Datenbank, Shop-Administration und Schnittstellen ändern und die Kunden je nach Lage informieren.
Unterstützung
Unsicher, ob Sie betroffen sind?
Wir prüfen Ihre Systeme, spielen die Updates ein und suchen nach Spuren eines Angriffs. Sie bekommen eine klare Antwort: betroffen oder nicht. Betreuungskunden müssen nichts tun, wir kümmern uns bereits darum.
Veröffentlicht am 27. Oktober 2026. Grundlage: Sansec · CISA · SecurityOnline · Rescana. Von uns in eigenen Worten zusammengefasst; verbindlich sind die Hinweise des Herstellers. Alle Sicherheitswarnungen
Passend dazu