Hoch59 / 100Konfidenz: Mittel

In CISA KEVCVSS9.3EPSS47 %Über Netz erreichbarOhne Anmeldung

Installieren Sie umgehend die von Adobe bereitgestellten Sicherheitsupdates für alle betroffenen Magento-Instanzen.

▸Herleitung der Bewertung(4)

Wie der Wert zustande kommt

Im CISA-KEV-Katalog: CVE-2026-48356+25
Hoechster CVSS-Basiswert 9.3+17
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-47984, CVSS-Vektor AV:N/PR:N)+10
EPSS 47.5 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+7

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Darunter eine behoerdliche Primaerquelle
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-10-28 07:50 UTCMethodik

[UPDATE] [kritisch] Adobe Magento: Mehrere Schwachstellen

CERT-Bund·28. Oktober 2026, 07:50

Originalartikel lesen bei CERT-Bund

Mehrere kritische Schwachstellen in Adobe Magento ermöglichen Angreifern die Erhöhung von Privilegien, Code-Ausführung und Datenoffenlegung. Betroffen sind verschiedene Magento-Versionen auf UNIX- und Windows-Plattformen. Nutzer sollten umgehend die von Adobe bereitgestellten Sicherheitsupdates installieren, um ihre Online-Shops zu schützen.

SecBoard-Einordnung

Diese Schwachstellen können von Angreifern ausgenutzt werden, um Online-Shops zu kompromittieren, sensible Kundendaten zu stehlen und die Kontrolle über die Plattform zu erlangen. Dies kann zu erheblichen finanziellen und reputativen Schäden führen.

Realistisch schlimmster Fall: Angreifer könnten vollständige Kontrolle über betroffene Online-Shops erlangen, Kundendaten exfiltrieren, bösartigen Code ausführen und die Integrität der Geschäftsabläufe untergraben.

Im erfassten Bestand

▸CVE-2026-48356 kommt damit in 5 erfassten Meldungen der letzten 90 Tage vor.
▸CVE-2026-48356 stand zum Zeitpunkt dieser Meldung seit 1 Tagen im KEV-Katalog der CISA.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts· 12 / 14

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-48356CISA KEV

CVSS: 9.3 · CRITICAL
EPSS: 47.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
im KEV seit: 2026-10-27
Patch: unbekannt
Zuweisende CNA: psirt@adobe.com

CVE-2026-48358

CVSS: 9.1 · CRITICAL
EPSS: 1.2%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@adobe.com

CVE-2026-47994

CVSS: 8.7 · HIGH
EPSS: 0.7%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: psirt@adobe.com

CVE-2026-47988

CVSS: 8.6 · HIGH
EPSS: 0.8%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@adobe.com

CVE-2026-47984

CVSS: 8.2 · HIGH
EPSS: 0.7%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: psirt@adobe.com

CVE-2026-47995

CVSS: 8.1 · HIGH
EPSS: 0.7%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: psirt@adobe.com

CVE-2026-47992

CVSS: 7.2 · HIGH
EPSS: 1.0%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@adobe.com

CVE-2026-47996

CVSS: 6.8 · MEDIUM
EPSS: 0.9%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
Patch: unbekannt
Zuweisende CNA: psirt@adobe.com

CVE-2026-48000

CVSS: 6.1 · MEDIUM
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: psirt@adobe.com

CVE-2026-47997

CVSS: 5.9 · MEDIUM
EPSS: 0.7%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit
Patch: unbekannt
Zuweisende CNA: psirt@adobe.com

CVE-2026-47998

CVSS: 5.9 · MEDIUM
EPSS: 0.7%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit
Patch: unbekannt
Zuweisende CNA: psirt@adobe.com

CVE-2026-48371

CVSS: 5.4 · MEDIUM
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: psirt@adobe.com

Betroffen

Alle Nutzer von Adobe Magento, insbesondere Versionen vor und einschließlich 2.4.9-2026-jul, auf UNIX- und Windows-Plattformen.

Hersteller

Adobe

Produkte

Commerce and MagentoCommerce2 Versionen

▸ CPE-Rohbezeichner anzeigen (20)

cpe:2.3:a:adobe:commerce:2.4.4:-:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p10:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p11:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p12:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p13:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p14:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p15:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p16:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p17:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p18:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p1:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p2:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p3:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p4:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p5:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p6:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p7:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p8:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.4:p9:*:*:*:*:*:*
cpe:2.3:a:adobe:commerce:2.4.5:-:*:*:*:*:*:*

Prüfen

▸Überprüfen Sie, ob alle Adobe Magento-Instanzen auf die neuesten, von Adobe bereitgestellten Sicherheitsupdates aktualisiert wurden.
▸Scannen Sie Ihre Magento-Umgebungen auf Anzeichen von Kompromittierung oder unbefugtem Zugriff.

▸ 1 weitere

▸Überprüfen Sie die Zugriffsrechte auf Ihre Magento-Systeme, um sicherzustellen, dass das Prinzip der geringsten Privilegien angewendet wird.

Offene Punkte

▸ anzeigen

▸Die spezifischen CVE-IDs der Schwachstellen sind im Artikel nicht genannt.
▸Details zu den genauen Angriffsvektoren sind nicht spezifiziert.
▸Es ist nicht angegeben, ob die Schwachstellen bereits aktiv ausgenutzt werden.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Unklar
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Ja
Detection / Logging prüfbar?Möglich
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Haben wir Windows extern erreichbar?

MITRE ATT&CK(3)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1059Command and Scripting Interpreterzugeordnet

„Code-Ausführung“

T1068Exploitation for Privilege Escalationzugeordnet

„Erhöhung von Privilegien“

T1530Data from Local Systemzugeordnet

„Datenoffenlegung“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

[UPDATE] [kritisch] Adobe Magento: Mehrere Schwachstellen

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-48356 CVE-2026-48358 CVE-2026-47994 CVE-2026-47988 CVE-2026-47984 CVE-2026-47995 CVE-2026-47992 CVE-2026-47996 CVE-2026-48000 CVE-2026-47997 CVE-2026-47998 CVE-2026-48371 CVE-2026-47999 CVE-2026-48001

Themen

kritisch

Vollständigen Artikel lesen bei CERT-Bund

Erwähnte CVEs (12)

CVE-2026-48356CRITICAL(9.3)

KEVEPSS 47.5%

Adobe Commerce is affected by an Unrestricted Upload of File with Dangerous Type vulnerability that could result in arbitrary code execution in the context of the current user, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.

Details NVD

CVE-2026-48358CRITICAL(9.1)

EPSS 1.2%

Adobe Commerce is affected by an Improper Encoding or Escaping of Output vulnerability that could result in arbitrary code execution in the context of the current user. An attacker with high privileges could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.

Details NVD

CVE-2026-47994HIGH(8.7)

EPSS 0.7%

Adobe Commerce is affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by a low-privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim's browser when they browse to the page containing the vulnerable field, potentially gaining elevated access or control over the victim's account or session. Scope is changed.

Details NVD

CVE-2026-47988HIGH(8.6)

EPSS 0.8%

Adobe Commerce is affected by an Incorrect Authorization vulnerability that could result in a Security feature bypass. An attacker could leverage this vulnerability to bypass security measures and gain unauthorized read and limited write access, causing a limited disruption to availability. Exploitation of this issue does not require user interaction.

Details NVD

CVE-2026-47984HIGH(8.2)

EPSS 0.7%

Adobe Commerce is affected by an Incorrect Authorization vulnerability that could result in a Security feature bypass. An attacker could leverage this vulnerability to bypass security measures and gain unauthorized read and limited write access. Exploitation of this issue does not require user interaction.

Details NVD

CVE-2026-47995HIGH(8.1)

EPSS 0.7%

Adobe Commerce is affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by a high-privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim's browser when they browse to the page containing the vulnerable field, potentially gaining elevated access or control over the victim's account or session. Scope is changed.

Details NVD

CVE-2026-47992HIGH(7.2)

EPSS 1.0%

Adobe Commerce is affected by an Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability that could result in arbitrary code execution in the context of the current user. A high-privileged attacker could exploit this vulnerability to execute malicious SQL commands, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue does not require user interaction.

Details NVD

CVE-2026-47996MEDIUM(6.8)

EPSS 0.9%

Adobe Commerce is affected by an Incorrect Authorization vulnerability that could lead to arbitrary file system read. A high-privileged attacker could exploit this vulnerability to access sensitive files and directories outside the intended access scope. Exploitation of this issue does not require user interaction. Scope is changed.

Details NVD

CVE-2026-48000MEDIUM(6.1)

EPSS 0.5%

Adobe Commerce is affected by an Improper Redirect (Open Redirect) vulnerability that could result in a Security feature bypass. An attacker could construct a malicious URL that redirects a victim to an attacker-controlled site. Exploitation of this issue requires user interaction in that a victim must click on a malicious link. Scope is changed.

Details NVD

CVE-2026-47997MEDIUM(5.9)

EPSS 0.7%

Adobe Commerce is affected by an Incorrect Authorization vulnerability that could result in a Security feature bypass. An attacker could leverage this vulnerability to bypass security measures and gain unauthorized read access. Exploit depends on conditions beyond the attacker's control. Exploitation of this issue does not require user interaction.

Details NVD

CVE-2026-47998MEDIUM(5.9)

EPSS 0.7%

Adobe Commerce is affected by an Incorrect Authorization vulnerability that could result in a Security feature bypass. An attacker could leverage this vulnerability to bypass security measures and gain unauthorized read access. Exploit depends on conditions beyond the attacker's control. Exploitation of this issue does not require user interaction.

Details NVD

CVE-2026-48371MEDIUM(5.4)

EPSS 0.4%

Details NVD