Über 300 Angriffe auf mehr als 130 Shops in nur 48 Stunden: Mit diesen Zahlen dokumentierte das Akamai Security Intelligence Team den Beginn der Angriffswelle auf Magento- und Adobe-Commerce-Installationen. Auslöser ist die kritische Sicherheitslücke CVE-2025-54236, die Sicherheitsforscher von Sansec „SessionReaper“ getauft haben. Wer seinen Shop bis heute nicht gepatcht hat, betreibt faktisch ein offenes Scheunentor.
Die Schwachstelle erreicht 9,1 von 10 Punkten auf der CVSS-Skala und sitzt in der REST-API der Plattform. Angreifer können ohne Login und ohne Interaktion durch den Shop-Betreiber fremde Kundenkonten übernehmen – und unter bestimmten Server-Konfigurationen sogar eigenen Code auf dem Shop-Server ausführen. Damit ist nicht nur der Zugriff auf Bestell- und Kundendaten möglich, sondern im schlimmsten Fall die vollständige Kontrolle über die Installation.
Welche Magento- und Adobe-Commerce-Versionen sind betroffen?
Alle aktuellen Release-Zweige vor dem Notfall-Patch sind verwundbar: Adobe Commerce 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14 und 2.4.4-p15 sowie alle älteren Versionen. Ebenso betroffen sind Adobe Commerce B2B und Magento Open Source in denselben Versionsständen. Adobe hatte die Lücke mit dem Sicherheits-Bulletin APSB25-88 außer der Reihe geschlossen – ein Eingriff außerhalb des regulären Release-Rhythmus, der allein schon die Brisanz unterstreicht.
Sansec wirft Adobe dennoch vor, die Dringlichkeit heruntergespielt zu haben. Im offiziellen Advisory fehlte der Hinweis, dass Angreifer unter Umständen die komplette Server-Kontrolle erlangen können. Entdeckt hatte die Lücke der Sicherheitsforscher Daniel Le Gall, der sie über die Plattform HackerOne verantwortungsvoll an Adobe gemeldet hatte.
Warum trifft die Welle ausgerechnet jetzt ungepatchte Händler?
Der Zeitablauf ist lehrbuchreif. Nach der Patch-Veröffentlichung Anfang September 2025 blieb es zunächst ruhig – Sansec hielt den funktionierenden Exploit-Code zurück, um Händlern Zeit zu geben. Doch schon wenige Wochen später setzten die Massenangriffe ein, ausgehend von einer kleinen Zahl von IP-Adressen, aber vollautomatisiert. Scannen, angreifen, übernehmen: Wer einmal verwundbar gefunden wird, hat keine zweite Chance.
Die eigentliche Blamage liegt auf Händlerseite. Wochen nach dem Patch lief nach Erkenntnissen von Sansec noch die Mehrheit der Magento-Installationen weltweit ungepatcht. Gerade auf Magento läuft überdurchschnittlich oft ältere, individuell angepasste Software – und genau diese Shops scheuen das Update, weil sie Konflikte mit Extensions und Custom-Code fürchten. Ein teurer Irrtum: Die Folgekosten einer Kontoübernahme mit Kundendaten, DSGVO-Meldepflicht und möglicher Betriebsunterbrechung übersteigen jeden Patch-Aufwand um ein Vielfaches.
Die Mehrheit der Magento-Shops lief Wochen nach dem Notfall-Patch noch verwundbar – ein kalkuliertes Risiko, das Angreifer dankbar aufnehmen.
Für Händler, die aus technischen Gründen kurzfristig nicht patchen können, bleibt als Übergangslösung nur die Abschottung: Web Application Firewall mit Regeln gegen die bekannten Exploit-Muster, REST-API-Endpunkte einschränken und die Logs auf verdächtige Session-Zugriffe prüfen. Security-Dienste wie der Malware-Scanner von Sansec oder Hosting-seitige Absicherung etwa durch spezialisierte Magento-Hoster wie MGT-Commerce helfen bei der Kontrolle, ersetzen aber kein Update.
Die Handlungsempfehlung ist eindeutig: Hotfix einspielen, Patch-Status verifizieren, danach Admin- und Kunden-Sessions zurücksetzen. Und wer unsicher ist, ob der eigene Shop schon kompromittiert wurde, sollte Zugriffs-Logs der vergangenen Monate prüfen lassen – SessionReaper-Angriffe lassen sich dort anhand verdächtiger API-Requests nachvollziehen. Die nächste Angriffswelle kommt bestimmt. Die Frage ist nur, ob Ihr Shop dann noch offen steht.