Marcus Chen, YuSMP Group
Marcus Chen Staff Engineer, Backend & Cloud, YuSMP Group · Infrastruktursicherheit und Cloud-Architektur für US- und EU-Produkte
Isometrischer Einkaufswagen mit gebrochenem Vorhängeschloss und zwei Kundenprofil-Karten, die durch einen roten Angriffspfeil verbunden sind — symbolisiert eine unauthentifizierte Sitzungsübernahme auf einer E-Commerce-Plattform

Kurzfassung

Ein kritischer Autorisierungsfehler (CVE-2026-71362) in Adobe Commerce und Magento erlaubt Angreifern, beliebige Kundensitzungen ohne Zugangsdaten zu übernehmen. Gepatcht am 12. August 2026; noch am selben Tag aktiv ausgenutzt. Spielen Sie den isolierten Patch auf das aktuelle -p-Release ein — sofort. Vier weitere Schwachstellen mit hohem Schweregrad sind im selben Release enthalten.

Was CVE-2026-71362 konkret tut

Die Schwachstelle wird als fehlerhafter Autorisierungsfehler klassifiziert. In der Praxis ermöglicht sie einem nicht authentifizierten HTTP-Request, den aktiven Sitzungskontext von einem Kundenkonto auf ein anderes umzuschalten — ohne Passwort, ohne Token, ohne vorherige Anmeldung. Ein Angreifer, der die Lücke ausnutzt, erhält vollen Zugriff auf das Profil des betroffenen Kunden: Bestellhistorie, gespeicherte Lieferadressen, Wunschlisten und alle im Rahmen der Sitzung exponierten Zahlungstoken.

Für Magento-Entwicklungsteams und Händler, die Adobe Commerce betreiben, ist der potenzielle Schaden erheblich. Jeder Shop mit Kundenkonten — was für die meisten B2C- und B2B-Storefronts zutrifft — ist ein mögliches Ziel. Die Schwachstelle betrifft alle drei Produktlinien: Adobe Commerce, Commerce B2B und Magento Open Source, in allen Versionen bis einschließlich des Juli-2026-Updates.

Adobes eigene Advisory bewertet die Schwachstelle als kritisch und weist einen CVSS-Score im Bereich 9,1–9,8 aus (die genaue Punktzahl variiert je nach Bewerter; sowohl SecurityWeek als auch BleepingComputer bestätigten den kritischen Schweregrad). Eine Authentifizierung ist nicht erforderlich. Eine Nutzerinteraktion ist nicht notwendig. Die Angriffskomplexität ist gering.

Warum die Ausnutzung so schnell erfolgte

Adobe veröffentlichte seine Advisory am 12. August 2026 — im üblichen Patch-Tuesday-Rhythmus. Gleichzeitig hielt Adobe fest, dass zum Zeitpunkt der Veröffentlichung keine bekannte Ausnutzung in freier Wildbahn bekannt sei. Noch am selben Tag war diese Aussage bereits überholt.

Sansec, ein auf Magento-Sicherheit spezialisiertes Unternehmen, berichtete, dass seine Web Application Firewall bereits Exploit-Versuche gegen Commerce- und Magento-Shops blockierte, bevor der Patch-Zyklus nennenswert unter den Händlern verbreitet war. Dieses Muster wird manchmal als „Patch Tuesday to Exploit Wednesday" bezeichnet — es ist kein Einzelfall, aber besonders ausgeprägt bei weit verbreiteten Open-Source-Plattformen wie Magento, bei denen das Einspielen von Patches (isolierter Patch auf dem aktuellen -p-Release) manuellen Aufwand erfordert und nicht automatisch erfolgt.

Die Zeitspanne zwischen „Advisory veröffentlicht" und „Exploitation beginnt" wird in der Branche immer kürzer. Für E-Commerce-Betreiber bedeutet das: Jede kritische CVE gegen eine kundenseitig exponierte Plattform muss als Patch-Pflicht für denselben Tag behandelt werden — nicht als Aufgabe für das nächste Wartungsfenster.

Was im August 2026 sonst noch behoben wurde

Das August-2026-Release behebt neben CVE-2026-71362 vier weitere Schwachstellen:

  • CVE-2026-48413 (CVSS 8,7) — Gespeichertes Cross-Site-Scripting in Commerce, ausnutzbar ohne Admin-Rechte. Ermöglicht Angreifern, persistente Schadskripte in die Storefront-Ausgabe einzuschleusen.
  • CVE-2026-48414 (CVSS 7,7) — Gespeichertes XSS mit Code-Ausführungspotenzial. Höhere Auswirkung, erfordert jedoch ein gewisses Rechtsniveau zum Einschleusen.
  • CVE-2026-48415 (CVSS 7,6) — Autorisierungsbypass spezifisch für Commerce B2B. Betrifft Händler, die Unternehmenskonten und die Bestellgenehmigungsfunktion nutzen.
  • CVE-2026-48416 (CVSS 7,5) — Nicht authentifizierter Autorisierungsbypass. Unabhängig von CVE-2026-71362; Details deuten auf einen anderen Code-Pfad für Sitzungs- oder Berechtigungsverarbeitung hin.

Adobe stellt den Fix als isolierte Patch-Datei bereit, die auf dem aktuellen -p-Release von Commerce oder Magento Open Source aufgespielt werden muss. Shops, die sich nicht auf dem aktuellen -p-Release befinden, müssen zunächst auf dieses aktualisieren, bevor der isolierte Patch angewendet werden kann.

Was das für DACH-E-Commerce-Teams bedeutet

Für Entwicklungs- und Sicherheitsteams, die E-Commerce-Plattformen in der EU betreiben, verdeutlicht dieser Vorfall drei strukturelle Probleme, die über die unmittelbare Patch-Pflicht hinausgehen:

Session-Architektur ist eine sicherheitskritische Kernfrage. Die Tatsache, dass eine Sitzung ohne Authentifizierung zwischen Kunden gewechselt werden kann, deutet auf eine Lücke in der Verknüpfung von Session-Tokens mit der Identität auf Anwendungsebene hin. Auch nach dem Patchen lohnt es sich zu prüfen, ob Ihre Commerce-Implementierung Anpassungen enthält — Erweiterungen, Drittanbieter-Plugins, Headless-API-Integrationen —, die ähnliche Session-Handling-Fehler neu einführen könnten.

DSGVO- und PCI-DSS-Risiken sind real. Ein nicht authentifizierter Angreifer, der die Bestellhistorie und gespeicherten Adressen eines anderen Kunden einsehen kann, hat unbefugt auf personenbezogene Daten zugegriffen — ein meldepflichtiger Vorfall gemäß DSGVO Artikel 33, sofern es Hinweise auf tatsächliche Zugriffe gibt. Händler in der EU sollten prüfen, ob das Exploit-Fenster mit ungewöhnlichem Angriffsverkehr zusammenfällt und ob die 72-Stunden-Meldefrist bereits läuft. Auch PCI DSS 4.0 schreibt eine unverzügliche Bewertung von Vorfällen vor, die Karteninhaberdaten-Umgebungen betreffen.

Für den DACH-Markt im Fokus: Deutschland ist nach dem Vereinigten Königreich der zweitgrößte E-Commerce-Markt Europas — und damit ein bevorzugtes Ziel für automatisierte Exploits gegen weit verbreitete Plattformen wie Magento. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) empfiehlt grundsätzlich, kritische Sicherheitspatches für internetexponierte Systeme vorrangig einzuspielen. Händler in Deutschland, Österreich und der Schweiz, die Adobe Commerce oder Magento betreiben, sollten zudem prüfen, ob die Exploitationsphase (12.–15. August 2026) mit ungewöhnlichem Zugriff auf Kundendaten zusammenfällt — denn dann beginnt die 72-Stunden-Meldefrist nach DSGVO Artikel 33 gegenüber der zuständigen Datenschutzbehörde (BfDI bzw. dem jeweiligen Landesdatenschutzbeauftragten). Eine Meldung ist nur dann entbehrlich, wenn die Datenpanne voraussichtlich keine Rechte und Freiheiten natürlicher Personen gefährdet.

WAF-Schutz ist kein Ersatz für das Patchen — er kauft jedoch Zeit. Die Fähigkeit von Sansec, Exploits zu blockieren, bevor Patches weitreichend eingespielt waren, zeigt, dass eine gut konfigurierte WAF-Regel, die auf das spezifische Request-Muster abzielt, die Angriffsfläche während eines Patch-Fensters verringern kann. Es ist keine dauerhafte Lösung, aber für Händler mit komplexen Upgrade-Abhängigkeiten ist eine temporäre WAF-Regel gegen Session-Override-Muster eine sinnvolle Übergangslösung, bis der Patch eingespielt werden kann.

Sie bauen auf Magento oder Commerce?

Wenn Ihr Team einen Adobe-Commerce- oder Magento-Shop aufbaut oder betreibt und Unterstützung bei der Risikoeinschätzung, dem sauberen Einspielen des Patches in einer angepassten Umgebung oder der Prüfung des Session-Handlings in Ihren Erweiterungen benötigt — unsere Ingenieure haben das bereits gemacht. Erfahren Sie mehr über unsere Magento-Entwicklungsservices oder sprechen Sie direkt mit einem Ingenieur.

Checkliste zur Schadensbegrenzung

Dies sind die Mindestschritte für jedes Team, das Adobe Commerce oder Magento Open Source betreibt:

  1. Aktuelle Version prüfen. Führen Sie bin/magento --version aus oder prüfen Sie das Admin-Panel. Stellen Sie fest, ob Sie sich auf dem aktuellen -p-Release Ihrer Minor-Version befinden.
  2. Auf das aktuelle -p-Release aktualisieren, falls noch nicht geschehen. Der isolierte August-Patch kann nicht auf ältere -p-Releases aufgespielt werden.
  3. Den isolierten Sicherheitspatch vom August 2026 einspielen. Folgen Sie Adobes offiziellen Patch-Anweisungen; der Vorgang unterscheidet sich je nach Commerce-Version. Testen Sie in einer Staging-Umgebung, bevor Sie auf Produktion deployen.
  4. Bei Nutzung von Commerce B2B die B2B-spezifischen Patches einspielen für CVE-2026-48415 und CVE-2026-48416 — diese sind von der Haupt-Commerce-Patch-Datei getrennt.
  5. WAF- und Server-Logs prüfen auf ungewöhnliche Session-Wechsel-Muster aus dem Zeitfenster 12.–15. August. Bei Hinweisen auf eine Ausnutzung sofort mit der DSGVO-Vorfallsbewertung beginnen.
  6. Drittanbieter-Erweiterungen prüfen, die Sitzungs- oder Kundenidentitäts-Handling modifizieren — dies ist der häufigste Einfallsweg, um behobene Schwachstellen in angepassten Deployments erneut einzuführen.

Häufige Fragen

Was ist CVE-2026-71362 in Adobe Commerce?

CVE-2026-71362 ist ein kritischer Autorisierungsfehler in Adobe Commerce und Magento Open Source. Er erlaubt einem nicht authentifizierten Angreifer, eine Sitzung ohne Zugangsdaten auf das Konto eines anderen Kunden umzuschalten und damit Zugriff auf Bestellhistorie, gespeicherte Adressen und hinterlegte Zahlungstoken zu erhalten. Adobe hat die Schwachstelle mit dem Patch-Tuesday-Release im August 2026 geschlossen.

Welche Versionen von Adobe Commerce und Magento sind betroffen?

Alle Versionen von Adobe Commerce, Commerce B2B und Magento Open Source bis einschließlich des Sicherheitsupdates vom Juli 2026 sind betroffen. Händler müssen den isolierten Patch vom August 2026 auf dem aktuellen -p-Release aufspielen. Ungepatchte Shops bleiben aktiven Exploit-Versuchen ausgesetzt.

Wie schnell wurde die Schwachstelle ausgenutzt?

Sansec berichtete, dass seine WAF innerhalb weniger Stunden nach Adobes öffentlicher Meldung bereits Exploit-Versuche blockierte — bevor die meisten Händler gepatcht hatten. Adobes Advisory vermerkte zunächst keine bekannte Ausnutzung in freier Wildbahn, doch das änderte sich noch am selben Tag.

Welche weiteren Schwachstellen wurden in diesem Release behoben?

Vier weitere Schwachstellen mit hohem Schweregrad: CVE-2026-48413 (CVSS 8,7, gespeichertes XSS), CVE-2026-48414 (CVSS 7,7, gespeichertes XSS mit Code-Ausführung), CVE-2026-48415 (CVSS 7,6, Autorisierungsbypass für B2B) und CVE-2026-48416 (CVSS 7,5, nicht authentifizierter Autorisierungsbypass). Der vollständige Patch behebt alle fünf.

Besteht eine DSGVO-Meldepflicht?

Möglicherweise. Wenn Logs zeigen, dass eine unbefugte Sitzungsübernahme für ein Kundenkonto stattgefunden hat — selbst ohne eindeutigen Nachweis einer Datenexfiltration —, kann die 72-Stunden-Meldefrist nach DSGVO Artikel 33 begonnen haben. EU-Händler sollten ihre Server- und WAF-Logs aus dem Zeitraum 12.–15. August prüfen und bei auffälligem Zugriff ihren Datenschutzbeauftragten (DSB) einschalten. Im DACH-Raum ist die zuständige Behörde der BfDI (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit) bzw. der jeweilige Landesdatenschutzbeauftragte.

Quellen

BleepingComputer — Hackers exploit critical Adobe Commerce flaw to hijack customer accounts, August 2026
SecurityWeek — Adobe Commerce Bug Targeted Immediately After Disclosure, August 2026