Magento Open Source: BSI warnt vor mehreren Schwachstellen

Das BSI hat am 14. Oktober 2026 das Advisory WID-SEC-2026-3944 veröffentlicht und warnt darin vor mehreren Schwachstellen in Adobe Magento Open Source. Laut der Kurzbeschreibung im BSI Security Advisor kann ein Angreifer beliebigen Programmcode ausführen, Berechtigungen erweitern, Sicherheitsmaßnahmen umgehen sowie Daten offenlegen oder manipulieren. Eine CVE-Nummer führt die BSI-Meldung selbst nicht – also „keine CVE". Verwertbar war zum Abrufzeitpunkt nur der RSS-Feed des Warn- und Informationsdienstes mit Titel, Zusammenfassung und Publikationszeitpunkt; der Volltext der Advisory-Seite war nicht auslesbar. Ein CVSS-Score geht aus der abrufbaren Kurzbeschreibung ebenfalls nicht hervor.

Magento Open Source: Was das BSI-Advisory meldet

Die beschriebene Wirkungskette ist breit: Codeausführung, Rechteausweitung, Umgehung von Sicherheitsmaßnahmen sowie Offenlegung und Manipulation von Daten. Das entspricht dem üblichen Muster eines Patch-Level-Advisorys, in dem gleich mehrere Einzellücken einer Shop-Plattform gebündelt werden, statt eine einzelne Schwachstelle zu isolieren. Für Betreiber ergibt sich damit eine Mischung aus Remote-Code-Ausführung und weniger schweren Informationslecks – die tatsächliche Dringlichkeit hängt von der konkret betroffenen Version ab, die die Meldung nicht benennt.

Was fehlt, ist für die Priorisierung entscheidend: konkrete CVE-Nummern, betroffene Versionsstände, ein CVSS-Score und jede Angabe dazu, ob eine der Lücken bereits aktiv ausgenutzt wird. Solange diese Punkte offen sind, lässt sich die Dringlichkeit nur eingeschränkt abschätzen – ein Umstand, den Admins bei der Einordnung berücksichtigen sollten.

Zeitliche Nähe zu APSB26-153 – eine Zuordnung ist nicht belegt

Zeitlich und inhaltlich passt die BSI-Warnung zum Adobe-Bulletin APSB26-153 vom 13. Oktober 2026, das magento.watch als „critical" mit 11 CVEs führt: CVE-2026-103849, CVE-2026-92909, CVE-2026-91013, CVE-2026-100133, CVE-2026-92464, CVE-2026-92911, CVE-2026-95631, CVE-2026-92908, CVE-2026-92922, CVE-2026-92910 und CVE-2026-95630. Fünf dieser Lücken sollen ohne Authentifizierung ausnutzbar sein.

Angeführt wird die Liste von einer Template-Engine-Injection CVE-2026-103849 mit CVSS 10.0, die unauthentifizierte beliebige Codeausführung erlaubt. Ebenfalls gefixt: eine „incorrect authorization"-Lücke im B2B-Bereich (CVE-2026-92909, CVSS 9.8, unauthentifizierte Codeausführung), Stored Cross-Site-Scripting sowie eine Input-Validierungslücke im Admin-Bereich, die beliebige Schreibzugriffe auf das Dateisystem zulässt.

Für die Einordnung ist ein Punkt zentral: Dass die BSI-Warnung genau dieses Bulletin und diese CVEs betrifft, ist aus den Quellen nicht bestätigt. Die Übereinstimmung ist eine zeitliche und thematische Plausibilität, keine gesicherte Zuordnung. Wer interne Ticketbeschreibungen oder Freigaben darauf aufbaut, sollte das ausdrücklich als Annahme kennzeichnen – und vor dem Handeln gegen das BSI-Advisory selbst nachprüfen.

Der Zero-Day CVE-2026-75650 – separat und aktiv ausgenutzt

Unabhängig von den October-Bulletins bleibt eine ältere, akut gefährliche Lücke relevant: CVE-2026-75650 aus dem Adobe-Bulletin APSB26-146 vom 7. September 2026. Adobe stuft sie als Critical ein, sie fällt in die Kategorie CWE-1336 (Improper Neutralization of Special Elements Used in a Template Engine), erlaubt beliebige Codeausführung und ist ohne Authentifizierung ausnutzbar – CVSS 10.0 nach Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Adobe bestätigt ausdrücklich die Ausnutzung in freier Wildbahn.

Betroffen sind laut Adobe unter anderem Adobe Commerce 2.4.9-2026-aug und früher, 2.4.8-, 2.4.7-, 2.4.6-, 2.4.5- sowie 2.4.4-2026-aug und früher, Adobe Commerce B2B 1.5.3-, 1.5.2-, 1.4.2-, 1.3.4- und 1.3.3-2026-aug und früher sowie Magento Open Source 2.4.9-2026-aug und früher, 2.4.8-, 2.4.7- und 2.4.6-2026-aug und früher. Als Lösung stellt Adobe einen Priority-1-Hotfix bereit.

Die technische Analyse der Zero-Day samt Angriffskette, Zeitlinie und beobachteter Infrastruktur dokumentiert SOC Prime. Sie gehört aber – das ist der entscheidende Punkt – nicht zu den October-Bulletins und darf nicht mit der BSI-Warnung WID-SEC-2026-3944 vermischt werden.

Patch-Status: isoliertes Patch-Level plus Hotfix

Für APSB26-153 liefert Adobe den Fix nicht als neues -pN-Release, sondern als „2026-oct isolated patch level" auf der bestehenden Basis-Release aus. Zusätzlich bittet Adobe Händler, den APSB26-146-Hotfix anzuwenden. Für APSB26-153 selbst meldet die Quelle keine Ausnutzung in freier Wildbahn – anders als bei CVE-2026-75650.

Bemerkenswert ist das insofern, als dass ein isoliertes Patch-Level kein vollständiges Versionsupdate ersetzt: Wer ausschließlich den Patch-Level einspielt, bleibt auf der alten Versionslinie und muss die Hotfix-Anweisungen separat nachvollziehen. Zu der BSI-Meldung ist hingegen kein Fix-Status bekannt – die Patch- und Hotfix-Angaben beziehen sich ausschließlich auf die Adobe-Bulletins, nicht auf das Advisory.

Handlungsempfehlung für Shop-Betreiber

Angesichts einer aktiv ausgenutzten Remote-Code-Ausführung (CVE-2026-75650) und mehrerer unauthentifiziert ausnutzbarer Lücken im October-Bulletin gilt für Magento-Open-Source- und Adobe-Commerce-Installationen: Version prüfen, den passenden Hotfix sowie den isolierten Patch-Level „2026-oct" zeitnah einspielen und den Patch-Stand dokumentieren. Die deutschsprachige Sekundärberichterstattung zu den Adobe-Sicherheitsupdates für Commerce und Magento Open Source ordnet die wiederkehrende Patch-Kette ein – siehe b2b-cyber-security.de.

Weil die Zuordnung der BSI-Warnung zu APSB26-153 offen ist, sollten Admins nicht allein auf die BSI-Kennung WID-SEC-2026-3944 warten. Der belastbare Weg ist, den Patch-Stand direkt an den Adobe-Bulletins abzugleichen und den BSI-Volltext nachzuziehen, sobald er abrufbar ist.

Quellen