9,1 von 10 Punkten auf der CVSS-Skala – so kritisch stuft Adobe die Sicherheitslücke CVE-2025-54236 ein, die unter dem Namen SessionReaper derzeit Adobe-Commerce- und Magento-Open-Source-Shops bedroht. Angreifer brauchen weder Zugangsdaten noch Interaktion durch einen Nutzer: Über die REST-API des Shopsystems lassen sich Kundenkonten kapern und im schlimmsten Fall Schadcode auf dem Server ausführen.
Entdeckt und verantwortungsvoll gemeldet hat die Schwachstelle das niederländische Sicherheitsunternehmen Sansec, das sie in einer Reihe mit den historischen Magento-Großangriffen Shoplift und TrojanOrder sieht. Technisch steckt der Fehler im ServiceInputProcessor der Web-API: Manipulierte Eingaben bei der Deserialisierung erlauben es, fremde Sessions zu übernehmen. Betroffen sind praktisch alle aktuellen Versionszweige – von Adobe Commerce 2.4.9-alpha2 abwärts bis zu den Patch-Ständen 2.4.8-p2, 2.4.7-p7, 2.4.6-p12 und älter, ebenso die B2B-Module und Magento Open Source. Wer eine dieser Versionen ohne den Hotfix betreibt, fährt einen offenen Shop.
Was genau hat Adobe gegen SessionReaper veröffentlicht?
Die Antwort ist ein Security Bulletin samt Hotfix: Mit APSB25-88 stellt Adobe den Patch „VULN-32437-2-4-X“ bereit, der die verwundbare Eingabeverarbeitung korrigiert. Für Shops auf Adobe Commerce Cloud hat der Hersteller zusätzlich WAF-Regeln auf Infrastrukturebene ausgerollt. Selbsthoster sind selbst gefragt – der Hotfix lässt sich ohne vollständiges Versionsupgrade einspielen, was die Hürde für eine schnelle Reaktion bewusst niedrig hält.
Doch Patchen allein reicht nicht. Genau darauf zielt die Empfehlung „Patch, Hunt, Rotate“: Wer erst nach einem möglichen Angriffszeitraum schließt, muss davon ausgehen, dass bereits jemand im System war.
Warum müssen Händler nach dem Patch zusätzlich Keys und Passwörter rotieren?
Weil eine übernommene Session oder ein angelegtes Admin-Konto den Patch überlebt. Sicherheitsexperten empfehlen deshalb eine feste Reihenfolge: Erst patchen, dann aktiv nach Kompromittierung suchen, dann sämtliche Zugänge zurücksetzen.
- Logs und WAF-Aufzeichnungen auf auffällige Aufrufe der /rest/-Endpunkte prüfen, besonders bei Kundenkonto- und Session-Funktionen.
- Admin-Benutzer, Integrationen und geplante Aufgaben (Cronjobs) auf unbekannte Einträge kontrollieren.
- Alle Admin-Passwörter, API-Zugänge, OAuth-Tokens und Verschlüsselungs-Keys rotieren sowie aktive Sessions serverseitig ungültig machen.
- Kundenkonto-Änderungen – E-Mail-Adressen, Passwort-Resets, Lieferadressen – mit vorangegangener API-Aktivität abgleichen.
Klingt aufwendig, ist aber billiger als die Alternative: Ein gekaperter Shop bedeutet im Zweifel abgegriffene Zahlungsdaten, DSGVO-Meldepflicht und wochenlangen Vertrauensschaden. Für die Log-Analyse eignen sich neben dem eigenen Monitoring die Erkennungsregeln, die Sansec und mehrere WAF-Anbieter inzwischen veröffentlicht haben; Händler ohne interne Security-Expertise sollten die Prüfung an ihre Agentur oder einen spezialisierten Dienstleister delegieren.
SessionReaper zeigt, was für Magento-Betreiber seit Jahren gilt: Die REST-API ist die größte Angriffsfläche des Systems – und die am konsequentesten vernachlässigte.
Handlungsdruck für den Shop-Alltag
Wo Geschäftsprozesse es erlauben, gehören REST-Endpunkte per WAF oder Reverse Proxy eingeschränkt; öffentlich erreichbar muss die API selten vollständig sein. Ebenso gehört ein definierter Patch-Prozess auf die Agenda: Adobe veröffentlicht Security-Updates inzwischen im Monatsrhythmus, und SessionReaper ist nicht die erste Lücke, die binnen Tagen aktiv ausgenutzt wurde.
Wer heute einen Adobe-Commerce- oder Magento-Shop ohne den APSB25-88-Hotfix betreibt, hat keine Denkpause mehr. Patch einspielen, Logs durchsuchen, Keys rotieren – in dieser Reihenfolge, noch diese Woche. Alles andere ist ein Geschenk an die Angreifer, die die Lücke längst im Werkzeugkasten haben.