SecBoard
Zurück zur Übersicht
Hoch53 / 100Konfidenz: Mittel
In CISA KEVCVSS10.0EPSS2 %Über Netz erreichbarOhne Anmeldung

Überprüfen Sie umgehend die eingesetzten Adobe Magento Open Source-Versionen und installieren Sie die neuesten Sicherheitsupdates des Herstellers.

▸Herleitung der Bewertung(3)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2026-75650+25
  • Hoechster CVSS-Basiswert 10.0+18
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-75650, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

  • Nur ein Herausgeber — keine Gegenlesung
  • Darunter eine behoerdliche Primaerquelle
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Bewertung v1.1, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

Red Team

[NEU] [hoch] Adobe Magento: Mehrere Schwachstellen

CERT-Bund·
Originalartikel lesen bei CERT-Bund

Mehrere hochkritische Schwachstellen in Adobe Magento ermöglichen Angreifern Cross-Site-Scripting, Privilegienerweiterung und die Umgehung von Sicherheitsmaßnahmen. Betroffen sind verschiedene Versionen von Adobe Magento Open Source auf UNIX- und Windows-Plattformen. Nutzer sollten dringend die bereitgestellten Herstellerinformationen prüfen und entsprechende Updates installieren, um ihre Systeme zu schützen.

SecBoard-Einordnung

Diese Schwachstellen können zu unautorisiertem Zugriff, Datenmanipulation und der Kompromittierung von Online-Shop-Systemen führen, was den Geschäftsbetrieb erheblich stören und das Vertrauen der Kunden untergraben kann.

Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer vollständige Kontrolle über betroffene Magento-Instanzen erlangen, sensible Kundendaten exfiltrieren, Finanztransaktionen manipulieren oder die gesamte E-Commerce-Plattform lahmlegen.

Im erfassten Bestand

  • ▸CVE-2026-75650 kommt damit in 7 erfassten Meldungen der letzten 90 Tage vor.
  • ▸CVE-2026-75650 stand zum Zeitpunkt dieser Meldung seit 1 Tagen im KEV-Katalog der CISA.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

 

CVE-2026-75650CISA KEV
CVSS
10.0 · CRITICAL
EPSS
2.1%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-08
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2026-76200
CVSS
9.3 · CRITICAL
EPSS
0.5%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2026-76201
CVSS
9.3 · CRITICAL
EPSS
0.5%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2026-77111
CVSS
8.7 · HIGH
EPSS
0.5%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2026-77774
CVSS
8.6 · HIGH
EPSS
0.5%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2026-77109
CVSS
8.6 · HIGH
EPSS
0.4%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Integrität
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2026-76202
CVSS
8.2 · HIGH
EPSS
0.4%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2026-77110
CVSS
7.6 · HIGH
EPSS
0.7%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2026-77108
CVSS
7.5 · HIGH
EPSS
0.5%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com

Betroffen

Organisationen, die Adobe Magento Open Source auf UNIX- oder Windows-Plattformen betreiben, sind betroffen.

Hersteller

Adobe

Produkte

Commerce and MagentoCommerceMagento2 Versionen
▸ CPE-Rohbezeichner anzeigen (40)
  • cpe:2.3:a:adobe:commerce:*:*:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:-:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p10:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p11:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p12:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p13:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p14:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p15:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p16:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p17:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p18:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p1:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p2:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p3:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p4:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p5:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p6:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p7:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p8:*:*:*:*:*:*
  • cpe:2.3:a:adobe:commerce:2.4.4:p9:*:*:*:*:*:*
  • cpe:2.3:a:adobe:magento:*:*:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.7:-:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.7:b1:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.7:b2:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.7:beta3:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.7:p10:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.7:p1:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.7:p2:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.7:p3:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.7:p4:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.7:p5:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.7:p6:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.7:p7:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.7:p8:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.7:p9:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.8:-:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.8:beta1:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.8:beta2:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.8:p1:*:*:open_source:*:*:*
  • cpe:2.3:a:adobe:magento:2.4.8:p2:*:*:open_source:*:*:*

Prüfen

3
  • ▸Überprüfen Sie die installierte Version von Adobe Magento Open Source und vergleichen Sie diese mit den Herstellerinformationen zu den betroffenen Versionen.
  • ▸Stellen Sie sicher, dass alle verfügbaren Sicherheits-Patches und Updates für Ihre Magento-Instanzen angewendet wurden.
▸ 1 weitere
  • ▸Führen Sie regelmäßige Sicherheitsaudits und Penetrationstests für Ihre Magento-Umgebung durch, um potenzielle Schwachstellen zu identifizieren.

Offene Punkte

3
▸ anzeigen
  • ▸Spezifische CVE-IDs der Schwachstellen sind im Artikel nicht genannt.
  • ▸Details zu den genauen betroffenen Versionen von Adobe Magento Open Source sind nicht spezifiziert.
  • ▸Informationen zu bekannten Exploits oder aktiven Angriffen sind nicht im Artikel enthalten.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Ja
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Ja
  • Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

  • Haben wir Windows extern erreichbar?
  • Können wir Resource Development detektieren?

MITRE ATT&CK(5)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1068Exploitation for Privilege Escalationzugeordnet

„Privilegienerweiterung“

T1136Create Accountzugeordnet

„Privilegienerweiterung“

T1190Exploit Public-Facing Applicationzugeordnet

„Mehrere hochkritische Schwachstellen in Adobe Magento ermöglichen Angreifern Cross-Site-Scripting, Privilegienerweiterung und die Umgehung von Sicherheitsmaßnahmen.“

T1562Impair Defenseszugeordnet

„Umgehung von Sicherheitsmaßnahmen“

T1588.006Obtain Capabilities: Vulnerabilitiesabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

0

›

Bewaffnung

1

›

Zustellung

0

›

Ausnutzung

0

›

Einnistung

0

›

Fernsteuerung

0

›

Zielhandlung

0

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

  • Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

ATT&CK-Heatmap

ATT&CK-Heatmap
Themen
hoch
Vollständigen Artikel lesen bei CERT-Bund