Was die Lücke tatsächlich bewirkt

CVE-2026-71362 ist eine Schwachstelle durch fehlerhafte Autorisierung mit einem CVSS-Wert von 9,1 in Adobe Commerce, Commerce B2B und Magento Open Source. Sie lässt einen nicht authentifizierten Angreifer die Sitzung eines Kunden auf das Konto eines anderen Kunden umschalten und verschafft dem Angreifer damit Zugriff auf die Bestellhistorie, gespeicherte Adressen und hinterlegte Zahlungsdaten des Opfers, ganz ohne Passwort, ohne eigenes Konto und ohne jede Interaktion des Opfers.

Adobe patchte die Lücke im Rahmen des August-2026-Patchday-Zyklus zusammen mit sechs weiteren Sicherheitsproblemen in den drei Produkten und erklärte zum Zeitpunkt des Advisorys, es gebe keine Hinweise darauf, dass der Fehler in freier Wildbahn ausgenutzt werde. Die Sicherheitsfirma Sansec, die Erkennungstelemetrie über einen großen Teil der weltweiten Magento- und Adobe-Commerce-Shops betreibt, erzählt eine andere Geschichte darüber, was als nächstes geschah.

Warum es innerhalb von Stunden traf

Sansec erklärt, seine Shield-Webanwendungsfirewall habe kurz nach Veröffentlichung von Adobes Advisory begonnen, echte Ausnutzungsversuche gegen CVE-2026-71362 zu blockieren -- Angreifer wechselten von den Patch-Hinweisen zu echten Angriffen innerhalb von Stunden statt Tagen. Diese Lücke zwischen Offenlegung und Ausnutzung ist für diese Plattform inzwischen die Norm statt die Ausnahme: Adobe Commerce und Magento haben eine lange Geschichte kritischer Schwachstellen, die fast sofort bewaffnet werden, sobald die technischen Details zum Bau eines Exploits öffentlich werden, weil die zugrunde liegende Codebasis auf einer großen, langsam patchenden installierten Basis unabhängiger Online-Shops läuft.

Der Mechanismus der Kontoübernahme selbst ist für einen Fehler auf Storefront-Ebene ungewöhnlich gefährlich: Die meisten E-Commerce-Schwachstellen erfordern einen vorherigen Zugangspunkt, doch diese hier lässt einen völlig anonymen Besucher mit einer einzigen präparierten Anfrage zu jedem beliebigen anderen Kunden werden, weshalb Sansec sich entschied, noch am selben Tag eine Erkennungssignatur zu veröffentlichen, statt auf eine breitere Bestätigung zu warten.

Was Händler jetzt sofort prüfen sollten

Jeder Shop mit Adobe Commerce, Commerce B2B oder Magento Open Source sollte bestätigen, dass der Sicherheitspatch vom August 2026 tatsächlich installiert ist und nicht nur geplant, denn die Daten von Sansec zeigen bereits echte Ausnutzungsversuche statt theoretischer Risiken. Da die Lücke in der Sitzungsverwaltung liegt und nicht in einem isolierten Modul, lohnt sich zusätzlich zum Patch eine Webanwendungsfirewall-Regel, die gezielt das bekannte Angriffsmuster blockiert, während der Rollout über jede Storefront-Instanz hinweg geprüft wird, einschließlich Staging- und sekundärer regionaler Seiten, die in einem Patch-Zyklus leicht vergessen werden.

Speziell für europäische und britische Händler ist eine Kontoübernahme-Lücke dieser Art auch eine Frage des Datenschutzes: Waren Bestellhistorie, Adressen oder Zahlungsmetadaten von Kunden auch nur kurzzeitig für einen nicht authentifizierten Angreifer zugänglich, ist das genau die Art von Offenlegung, die ein Datenschutzbeauftragter gegen die Meldeschwellen für Datenschutzverletzungen prüfen muss, unabhängig davon, ob die Telemetrie von Sansec zeigt, dass der eigene Shop konkret betroffen war.

Weiterlesen: Deutschlands NIS2-Schonfrist ist vorbei  |  361 vCenter-Server vor KEV-Listung angegriffen