SecBoard
Zurück zur Übersicht
Kritisch71 / 100Konfidenz: Hoch
In CISA KEVCVSS10.0EPSS2 %Über Netz erreichbarOhne Anmeldung

Installieren Sie umgehend alle verfügbaren Patches von Adobe.

▸Herleitung der Bewertung(5)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2026-75650+25
  • Hoechster CVSS-Basiswert 10.0+18
  • Wird laut Meldung tatsaechlich ausgenutzt: exploited in the wild, in the wild+12
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-75650, CVSS-Vektor AV:N/PR:N)+10
  • Belegte Angriffskette ueber 3 Kill-Chain-Phasen+6

Woraus sich die Konfidenz ergibt

  • 5 unabhaengige Herausgeber berichten den Sachverhalt
  • Darunter eine behoerdliche Primaerquelle
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Bewertung v1.1, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

Red TeamManager

Adobe Patches Over 170 Vulnerabilities, Including Commerce Zero-Day

SecurityWeek·
Originalartikel lesen bei SecurityWeek

Adobe hat über 170 Schwachstellen in seinen Produkten behoben, darunter eine kritische in Adobe Commerce und Magento Open Source (CVE-2026-75650), die bereits aktiv ausgenutzt wurde. Betroffen sind Online-Shops, die diese Software nutzen, sowie Anwender von Campaign Classic, ColdFusion, Experience Manager, Acrobat Reader, Photoshop, Illustrator und Animate. Nutzern wird dringend empfohlen, die Patches sofort zu installieren, insbesondere für Commerce/Magento, wo zusätzlich alle Verschlüsselungsschlüssel und Zugangsdaten erneuert werden sollten.

SecBoard-Einordnung

Die aktive Ausnutzung der in Adobe Commerce/Magento stellt ein unmittelbares Risiko für die Integrität und Sicherheit von Online-Shops dar. Ein erfolgreicher Angriff kann zur Kompromittierung sensibler Daten, finanziellen Verlusten und Reputationsschäden führen.

Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer vollständigen Zugriff auf kompromittierte Online-Shops erlangen, Kundendaten stehlen, betrügerische Transaktionen durchführen und die Systeme für weitere Angriffe nutzen, was zu erheblichen finanziellen und rechtlichen Konsequenzen führen würde.

Empfehlung: Installieren Sie umgehend alle verfügbaren Patches von Adobe. Für Adobe Commerce und Magento Open Source müssen zusätzlich alle Verschlüsselungsschlüssel und zugehörigen Zugangsdaten erneuert werden.

Im erfassten Bestand

  • ▸CVE-2026-75650 kommt damit in 6 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

 

CVE-2026-75650CISA KEV
CVSS
10.0 · CRITICAL
EPSS
2.1%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-08
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2026-82004
CVSS
10.0 · CRITICAL
EPSS
1.4%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2026-48273
CVSS
9.9 · CRITICAL
EPSS
1.9%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2026-75746
CVSS
9.1 · CRITICAL
EPSS
1.1%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com

Betroffen

Online-Shops, die Adobe Commerce und Magento Open Source nutzen, sind direkt betroffen. Auch Anwender von Adobe Campaign Classic, ColdFusion, Experience Manager, Acrobat Reader, Photoshop, Illustrator und Animate sind von anderen behobenen Schwachstellen betroffen.

Hersteller

Adobe

Produkte

Commerce and MagentoCampaignColdfusionCommerce
▸ CPE-Rohbezeichner anzeigen (43)
  • cpe:2.3:a:adobe:campaign:*:*:*:*:classic:*:*:*
  • cpe:2.3:a:adobe:campaign:7.4.4:9400:*:*:classic:*:*:*
  • cpe:2.3:a:adobe:campaign:7.4.4:9401:*:*:classic:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:-:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update10:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update11:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update12:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update13:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update14:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update15:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update16:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update17:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update18:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update19:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update1:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update20:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update21:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update22:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update23:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update2:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update3:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update4:*:*:*:*:*:*
  • cpe:2.3:a:adobe:coldfusion:2023:update5:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:*:*:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:-:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p10:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p11:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p12:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p13:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p14:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p15:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p16:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p17:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p18:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p1:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p2:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p3:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p4:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p5:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p6:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p7:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p8:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p9:*:*:*:*:*:*

Prüfen

3
  • ▸Überprüfen Sie, ob alle Adobe-Produkte, insbesondere Adobe Commerce und Magento Open Source, auf dem neuesten Patch-Stand sind.
  • ▸Führen Sie eine Überprüfung der Logs und Dateisysteme Ihrer Adobe Commerce/Magento-Installationen auf Anzeichen von Backdoors oder Web-Shells durch.
▸ 1 weitere
  • ▸Stellen Sie sicher, dass alle Verschlüsselungsschlüssel und Zugangsdaten für Adobe Commerce/Magento nach der Patch-Installation rotiert wurden.

Offene Punkte

3
▸ anzeigen
  • ▸Die genaue Art der ausgenutzten Code-Injection-Schwachstelle (CVE-2026-75650) ist im Artikel nicht detailliert beschrieben.
  • ▸Die spezifischen Auswirkungen der anderen über 170 behobenen Schwachstellen auf die einzelnen Adobe-Produkte sind nicht aufgeführt.
  • ▸Es wird nicht angegeben, welche spezifischen Angreifergruppen diese Zero-Day-Lücke ausnutzen oder welche Länder betroffen sind.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Ja
  • Privilege Escalation relevant?Ja
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Ja
  • Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

  • Haben wir Active Directory / Entra extern erreichbar?
  • Haben wir SAP extern erreichbar?
  • Können wir Reconnaissance detektieren?
  • Können wir Resource Development detektieren?

MITRE ATT&CK(7)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1190Exploit Public-Facing Applicationzugeordnet

„kritische Zero-Day-Lücke in Adobe Commerce und Magento Open Source (CVE-2026-75650), die bereits aktiv ausgenutzt wurde“

T1505Server Software Componentzugeordnet

„Angreifer setzen Backdoors und Web-Shells ein“

T1505.003Server Software Component: Web Shellabgeleitet
T1587.004Develop Capabilities: Exploitsabgeleitet
T1588.005Obtain Capabilities: Exploitsabgeleitet
T1588.006Obtain Capabilities: Vulnerabilitiesabgeleitet
T1589.001Gather Victim Identity Information: Credentialsabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

1

›

Bewaffnung

3

›

Zustellung

0

›

Ausnutzung

0

›

Einnistung

1

›

Fernsteuerung

0

›

Zielhandlung

0

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

  1. CERT-FRKontext
    Vulnérabilité dans les produits Adobe (08 septembre 2026)
  2. The Hacker NewsKontext
    Adobe Patches Magento Zero-Day Exploited to Deploy Rust Backdoor and PHP Web Shell
  3. CISA Current ActivityPrimärbeleg
    CISA Adds Four Known Exploited Vulnerabilities to Catalog
  4. BleepingComputerKontext
    Adobe fixes critical Magento zero-day exploited to backdoor servers
  5. SecurityWeekKontext
    Adobe Patches Over 170 Vulnerabilities, Including Commerce Zero-Day

Der Vorgang wird seit 1 Tagen berichtet.

Quellen & Belege· 5 unterschiedliche Quellen

CISA Current ActivityPrimärbelegPUBLICZuverlässigkeit A

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

BleepingComputerKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

SecurityWeekKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

The Hacker NewsKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

CERT-FRKontextUNKNOWN

Quelle nicht eingeordnet.

  • Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
  • Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

ATT&CK-Heatmap

ATT&CK-Heatmap
Themen
VulnerabilitiesAdobeCVE-2026-75650Patch Tuesady
Vollständigen Artikel lesen bei SecurityWeek