Eine kritische Sicherheitslücke in Adobe Commerce und Magento Open Source wird aktiv ausgenutzt. Adobe hat außerhalb des regulären Patch-Zyklus ein Notfall-Update veröffentlicht. Betroffen sind praktisch alle aktuellen Versionen beider Plattformen. Wer einen Magento- oder Adobe-Commerce-Shop betreibt, sollte nicht auf das nächste Wartungsfenster warten: Patchen, Kompromittierung prüfen, Schlüssel rotieren – in dieser Reihenfolge.
Was steckt hinter der Zero-Day-Lücke?
Die Schwachstelle sitzt in der REST-API der Plattform. Durch eine fehlerhafte Eingabevalidierung können Angreifer ohne Authentifizierung Requests manipulieren und im schlimmsten Fall Kundenkonten übernehmen oder Schadcode im Shop einschleusen. Sicherheitsforscher tauften die Lücke „SessionReaper“, weil sie bestehende Kunden-Sessions kapern kann. Mit einem CVSS-Score im kritischen Bereich zählt sie zu den schwersten Magento-Lücken der vergangenen Jahre.
Besonders brisant: Die Lücke erfordert keinerlei Login. Jeder öffentlich erreichbare Shop ist potenzielles Ziel. Beobachtungen aus der Security-Community zeigen, dass Scanner die Lücke bereits massenhaft sondieren. Die Zeit zwischen Veröffentlichung und erstem Angriff lag bei früheren Magento-Lücken teils bei unter 48 Stunden.
Warum reicht Patchen allein nicht aus?
Ein geschlossenes Loch ändert nichts an einem Angreifer, der schon drin war. Genau darauf zielt die Empfehlung „Patch, Hunt, Rotate“: Nach dem Einspielen des Updates müssen Betreiber aktiv nach Anzeichen einer Kompromittierung suchen. Konkret heißt das: Access- und API-Logs auf auffällige Requests prüfen, neue Admin-Konten im Backend kontrollieren, geänderte Template-Dateien und unbekannte Cronjobs identifizieren. Klassische Indikatoren sind verschlüsselte Skripte in Footer-Templates oder manipulierte Zahlungsmodule.
Der dritte Schritt wird oft unterschätzt: Kryptografische Schlüssel rotieren. Wer über die Lücke Zugriff auf die Konfiguration hatte, könnte den Encryption Key des Shops kopiert haben. Mit diesem Schlüssel lassen sich gespeicherte Zahlungsdaten und Sessions auch nach dem Patch weiter missbrauchen. Adobe dokumentiert das Rotationsverfahren in der offiziellen Dokumentation; bei Magento Open Source ist der Prozess identisch.
Welche Shops sind betroffen – und wer nicht?
- Betroffen: Adobe Commerce (On-Premise und Cloud) sowie Magento Open Source in allen Versionen vor dem Sicherheits-Update.
- Nicht direkt betroffen: Shopify-, Shopware- oder WooCommerce-Shops. Wer aber Dienste wie Headless-Frontends mit Magento-Backend kombiniert, ist genauso im Risiko.
- Besonders gefährdet: Shops ohne Web Application Firewall und ohne restriktive IP-Freigaben für Admin-Bereich und API-Endpunkte.
Shops auf Adobe Commerce Cloud erhalten den Patch teils automatisiert über die Infrastruktur. On-Premise-Installationen und Magento-Open-Source-Instanzen müssen selbst aktiv werden. Händler, die ihre Wartung an Agenturen ausgelagert haben, sollten den Patch-Status aktiv erfragen – nicht darauf vertrauen, dass „schon gepatcht“ wurde.
Wie sich Shopbetreiber dauerhaft absichern
Diese Lücke ist kein Einzelfall. Magento-Installationen gehören zu den am häufigsten angegriffenen E-Commerce-Systemen weltweit, allein wegen der Kreditkartendaten im Checkout. Wer die Plattform weiter betreibt, braucht drei Dinge: einen definierten Patch-Prozess mit Reaktionszeit unter 24 Stunden bei kritischen Lücken, eine Web Application Firewall als Puffer bis zum Patch und regelmäßige Integritätsprüfungen der Codebase.
Für die Sofortmaßnahme gilt eine klare Reihenfolge: Backup ziehen, Patch einspielen, Logs der vergangenen Wochen analysieren, Admin-Konten auditieren, Encryption Key und API-Credentials rotieren, Passwort-Reset für alle Admin-User erzwingen. Wer bei der Kompromittierungsprüfung fündig wird, sollte zusätzlich den Payment-Dienstleister informieren – bei Kreditkarten-Diebstahl drohen sonst PCI-relevante Folgeprobleme.
Eine Zero-Day-Lücke im Checkout ist kein IT-Problem, sondern ein Umsatzproblem. Jede Stunde Verzögerung ist eine Einladung.
Der Vorfall dürfte die Debatte um Magento Open Source neu befeuern: Die Community-Version erhält Sicherheitsupdates, aber keinen Support-Vertrag mit garantierten Reaktionszeiten. Händler mit siebenstelligem Umsatz auf selbst gehostetem Magento sollten den Aufwand für Security Monitoring ehrlich kalkulieren – oder über Alternativen nachdenken.