SecBoard
Zurück zur Übersicht
Hoch53 / 100Konfidenz: Hoch
In CISA KEVCVSS10.0EPSS2 %Über Netz erreichbarOhne Anmeldung
▸Herleitung der Bewertung(3)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2026-75650+25
  • Hoechster CVSS-Basiswert 10.0+18
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-75650, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

  • 5 unabhaengige Herausgeber berichten den Sachverhalt
  • Darunter eine behoerdliche Primaerquelle
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Bewertung v1.1, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

Red Team

Vulnérabilité dans les produits Adobe (08 septembre 2026)

CERT-FR·
Originalartikel lesen bei CERT-FR

Eine kritische Sicherheitslücke (CVE-2026-75650) in Adobe Commerce und Magento Open Source wird aktiv ausgenutzt und ermöglicht die Ausführung von beliebigem Code aus der Ferne. Betroffen sind alle Nutzer dieser Produkte ohne das entsprechende Sicherheitsupdate. Es wird dringend empfohlen, die im Adobe-Sicherheitsbulletin APSB26-146 bereitgestellten Patches umgehend zu installieren.

SecBoard-Einordnung

Diese Schwachstelle wird aktiv ausgenutzt und ermöglicht Angreifern die Ausführung von beliebigem Code aus der Ferne, was zu einer vollständigen Kompromittierung der betroffenen Systeme führen kann.

Realistisch schlimmster Fall: Der schlimmste Fall ist die vollständige Übernahme der betroffenen Adobe Commerce- oder Magento Open Source-Instanzen durch einen Angreifer, was zu Datenlecks, Manipulationen oder Dienstunterbrechungen führen kann.

Empfehlung: Installieren Sie umgehend die im Adobe-Sicherheitsbulletin APSB26-146 bereitgestellten Patches für alle betroffenen Adobe Commerce- und Magento Open Source-Produkte.

Key Facts

 

CVE-2026-75650CISA KEV
CVSS
10.0 · CRITICAL
EPSS
2.1%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-08
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com

Betroffen

Alle Nutzer von Adobe Commerce B2B, Adobe Commerce und Magento Open Source, die die im Adobe-Sicherheitsbulletin APSB26-146 bereitgestellten Patches nicht installiert haben.

Hersteller

Adobe

Produkte

Commerce and MagentoCommerce
▸ CPE-Rohbezeichner anzeigen (20)
  • cpe:2.3:a:adobe:commerce:*:*:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:-:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p10:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p11:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p12:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p13:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p14:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p15:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p16:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p17:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p18:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p1:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p2:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p3:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p4:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p5:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p6:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p7:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p8:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p9:*:*:*:*:*:*

Prüfen

3
  • ▸Überprüfen Sie, ob alle Adobe Commerce- und Magento Open Source-Instanzen auf die neuesten, gepatchten Versionen aktualisiert wurden.
  • ▸Scannen Sie Ihre Systeme auf Anzeichen einer Kompromittierung, insbesondere auf ungewöhnliche Prozesse oder Dateimodifikationen, die auf eine Remote Code Execution hindeuten könnten.
▸ 1 weitere
  • ▸Stellen Sie sicher, dass ein Notfallplan für die Reaktion auf Sicherheitsvorfälle im Falle einer erfolgreichen Ausnutzung dieser Schwachstelle vorhanden ist.

Offene Punkte

3
▸ anzeigen
  • ▸Es ist nicht spezifiziert, welche spezifischen Versionen von Adobe Commerce und Magento Open Source genau betroffen sind, außer dass es sich um alle Versionen ohne das Update handelt.
  • ▸Der genaue Angriffsvektor oder die Komplexität der Ausnutzung sind im Artikel nicht detailliert beschrieben.
  • ▸Es werden keine spezifischen Indikatoren für eine Kompromittierung (IOCs) genannt.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Ja
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Möglich
  • Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

  • Sind wir hiervon betroffen — und können wir es detektieren?

MITRE ATT&CK(1)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1203Remote Code Executionzugeordnet

„ermöglicht die Ausführung von beliebigem Code aus der Ferne“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

  1. CERT-FRKontext
    Vulnérabilité dans les produits Adobe (08 septembre 2026)
  2. The Hacker NewsKontext
    Adobe Patches Magento Zero-Day Exploited to Deploy Rust Backdoor and PHP Web Shell
  3. CISA Current ActivityPrimärbeleg
    CISA Adds Four Known Exploited Vulnerabilities to Catalog
  4. BleepingComputerKontext
    Adobe fixes critical Magento zero-day exploited to backdoor servers
  5. SecurityWeekKontext
    Adobe Patches Over 170 Vulnerabilities, Including Commerce Zero-Day

Der Vorgang wird seit 1 Tagen berichtet.

Quellen & Belege· 5 unterschiedliche Quellen

CISA Current ActivityPrimärbelegPUBLICZuverlässigkeit A

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

BleepingComputerKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

SecurityWeekKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

The Hacker NewsKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

CERT-FRKontextUNKNOWNdiese Meldung

Quelle nicht eingeordnet.

  • Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
  • Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-75650
Vollständigen Artikel lesen bei CERT-FR