1.500 kompromittierte Shops in wenigen Tagen: Die als SessionReaper bekannte Sicherheitslücke in Magento und Adobe Commerce wird seit Oktober 2025 aktiv ausgenutzt. Die Sicherheitsfirma Sansec registriert Hunderte Attacken pro Tag – trotz des seit sechs Wochen verfügbaren Patches. Wer seinen Shop noch nicht aktualisiert hat, arbeitet derzeit mit offener Hintertür.
Adobe hatte die Schwachstelle am 9. September 2025 im Security Bulletin APSB25-88 veröffentlicht und mit CVE-2025-54236 versehen. Der CVSS-Score liegt bei 9,1 von 10 – kritisch. Über eine fehlerhafte Validierung in der Web-API können Angreifer ohne Authentifizierung Kunden-Sessions übernehmen und auf bestimmten Konfigurationen beliebigen Code im Shop ausführen. Betroffen sind Adobe Commerce und Magento Open Source in den Versionen 2.4.9-alpha1 bis 2.4.4-p14 beziehungsweise 2.4.5-p13, 2.4.6-p11, 2.4.7-p6 sowie 2.4.8-p1 und ältere Patch-Stände.
Was macht SessionReaper für Shopbetreiber so gefährlich?
Die Lücke benötigt keine Zugangsdaten. Ein Angreifer manipuliert API-Anfragen und übernimmt damit Kundenkonten samt Bestellhistorie, Adressdaten und gespeicherten Zahlungsprofilen. In der Praxis nutzen die Angreifer die Übernahme allerdings für etwas Profitableres: Sansec beobachtet, dass über kompromittierte Sessions Admin-Zugänge aufgebaut und anschließend Web-Shells und Kreditkarten-Skimmer installiert werden. Der Schaden trifft damit nicht nur den einzelnen Kundenaccount, sondern die gesamte Payment-Strecke des Shops – mit allem, was an DSGVO-Meldepflichten und PCI-DSS-Folgen daranhängt.
Besonders problematisch: Der Patch selbst wurde zwischenzeitlich zwei Mal nachgeschärft. Adobe veröffentlichte Hotfixes, die versehentlich legitime Kunden- und Admin-Sessions beendeten. Shops, die den September-Patch sofort eingespielt hatten, mussten also nachpatchen. Wer aus Vorsicht gewartet hat, sollte jetzt den aktuellen Fix für seine Version installieren – für 2.4.8 ist das 2.4.8-p2, für 2.4.7 entsprechend 2.4.7-p7.
Wie reagieren Sie als Händler richtig?
Zuerst: Prüfen, ob bereits ein Einbruch stattgefunden hat. Sansec veröffentlichte eine Liste von Indicators of Compromise – typische Spuren sind unbekannte Admin-Accounts, PHP-Dateien im pub/media-Verzeichnis und manipulierte Templates. Das Scan-Tool von Sansec erkennt die gängigen SessionReaper-Hintertüren. Wer sein Monitoring nicht selbst betreibt, findet bei Magento-Agenturen mit Security-Fokus oder beim eigenen Hoster entsprechende Prüfungen; Anbieter wie MageReport bieten zudem einen schnellen externen Security-Check ohne Serverzugang.
Danach: Patch einspielen, und zwar vollständig. Dazu gehört nicht nur das Adobe-Hotfix-Paket, sondern auch die Überprüfung, ob REST- und GraphQL-Endpunkte unnötig offen exponiert sind. Eine Web Application Firewall mit den aktuellen Adobe-Regelsätzen schließt die Lücke zusätzlich auf Netzwerkebene – für Shops, deren Release-Zyklus ein sofortiges Update nicht zulässt, ist das die kurzfristig tragfähigste Absicherung.
Mittelfristig ist der Vorfall ein weiteres Signal, das viele Betreiber seit Jahren ignorieren: Adobe Commerce und Magento Open Source ziehen Angreifer an, weil die Update-Disziplin im Markt schwach ist. Sansec-Daten zeigen, dass selbst Wochen nach kritischen Patches ein Drittel der Installationen verwundbar bleibt. Wer seine Shop-Software nicht mindestens monatlich auf Security-Updates prüft – oder einen Vertragspartner hat, der das tut –, fährt 2026 nicht mehr kalkulierbar sicher.