62 Prozent. So viele Magento- und Adobe-Commerce-Installationen waren sechs Wochen nach dem Notfall-Patch für die Zero-Day-Lücke CVE-2025-54236 noch immer ungesichert, wie Telemetriedaten des niederländischen Sicherheitsdienstleisters Sansec zeigen. Adobe hatte den Fix außerplanmäßig veröffentlicht, nachdem die Schwachstelle bereits aktiv ausgenutzt wurde. Getauft auf den Namen SessionReaper, erlaubt sie Angreifern die Übernahme von Kundenkonten, ohne dass das Opfer auch nur einen Link anklicken muss.
Wer im DACH-Markt einen Magento-Shop betreibt, sollte diesen Text nicht als Warnung lesen. Sondern als Schadensprotokoll im Zeitraffer.
Was macht die Magento-Lücke CVE-2025-54236 so gefährlich?
SessionReaper ist eine unzureichende Eingabevalidierung in der REST-API von Adobe Commerce und Magento Open Source, die Angreifern die Übernahme fremder Sessions ohne Authentifizierung ermöglicht. Kein Phishing, kein Social Engineering, keine Interaktion. Ein präparierter API-Request genügt.
Damit unterscheidet sich die Lücke fundamental von dem, was Händler aus den vergangenen Jahren kennen. Klassische Magecart-Angriffe setzten voraus, dass Angreifer sich bereits Zugang verschafft hatten, etwa über kompromittierte Drittanbieter-Module oder gestohlene Admin-Zugänge. SessionReaper liefert den Zugang gleich mit. Die REST-API, über die ERP-Anbindungen, Warenwirtschaft und mobile Apps kommunizieren, wird selbst zum Einfallstor.
Was Angreifer mit einer gekaperten Session anstellen, ist absehbar: Bestellhistorien auslesen, gespeicherte Adressen und Zahlungsdaten abgreifen, Bestellungen umleiten. Bei B2B-Shops, die über die gleiche API Nettopreise, Konditionen und Rahmenverträge ausspielen, liegt der Schaden noch höher. Dort stecken die sensibelsten Handelsdaten eines Unternehmens.
Wie läuft ein SessionReaper-Angriff auf Adobe Commerce konkret ab?
Die Angriffe folgen einem wiederkehrenden Muster, das Sansec in freier Wildbahn dokumentiert hat. Zuerst wird über die API-Schwachstelle eine Session gekapert. Dann laden die Angreifer eine Webshell hoch, also ein kleines PHP-Skript, das ihnen dauerhaften Zugriff auf den Server sichert. In einem beobachteten Fall versuchte eine Session, per curl eine Backdoor von einem russischen Host nachzuladen.
Der entscheidende Punkt: Der Patch allein reicht nicht. Wer erst patcht, nachdem die Lücke schon Wochen öffentlich war, muss davon ausgehen, dass die Backdoor längst sitzt. Die Webshell überlebt das Update. Sie wurde genau dafür gebaut.
„Sobald Patches öffentlich sind, folgen die Exploits schnell. Die einzige dauerhafte Verteidigung ist Transparenz darüber, was im eigenen Shop tatsächlich läuft“, fasst Sansec-Gründer Willem de Groot die Lage zusammen.
Dass ausgerechnet ein geleakter Hotfix die Lage verschärfte, gehört zur Ironie dieser Geschichte. Bevor Adobe den offiziellen Patch bereitstellte, kursierte eine Vorabversion. Forscher warnten sofort: Wer den Patch reverse-engineert, bekommt die Bauanleitung für den Exploit frei Haus. Genau diese Zeitspanne zwischen Leak und flächendeckender Patch-Adoption nutzten die Angreifer.
Warum bleiben deutsche Händler so lange ungepatcht?
Weil Magento im deutschen Mittelstand meist kein Produkt, sondern ein Projekt aus dem Jahr 2019 ist. Die typische Installation läuft bei einer Agentur in Wartung, der Shopbetreiber selbst hat kein Inhouse-Entwicklerteam, und der Patch-Zyklus hängt am Release-Kalender der Agentur, nicht an der Dringlichkeit der Lücke.
Zehn Tage nach Veröffentlichung des Fixes hatte erst rund ein Drittel der Shops gepatcht. Sechs Wochen später hatten sich die Zahlen kaum bewegt. Das ist kein technisches Problem. Der Hotfix VULN-32437 lässt sich als Composer-Patch in Minuten einspielen, selbst ohne Versions-Upgrade. Das Problem ist organisatorisch: Niemand fühlt sich zuständig, bis es brennt.
Drei von fünf Shops blieben auch nach eineinhalb Monaten angreifbar. Bei einer Lücke, die ohne Nutzerinteraktion funktioniert und für die Exploit-Kits bereits automatisiert scannen, ist das grob fahrlässig. Die Scanner unterscheiden nicht zwischen einem 40-Millionen-Euro-Händler aus dem Ruhrgebiet und einem Nischenshop aus Salzburg. Sie treffen alle.
DSGVO: 72 Stunden, die teuer werden
Eine Kontoübernahme über SessionReaper ist kein rein technischer Vorfall, sondern ein meldepflichtiger Datenschutzverstoß. Personenbezogene Daten wurden unbefugt abgerufen, also greift Artikel 33 DSGVO: Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden. Bei hohem Risiko für die Betroffenen kommt Artikel 34 dazu, die Information der Kunden selbst.
Die 72-Stunden-Frist läuft ab dem Moment, in dem der Händler vom Vorfall Kenntnis erlangt. Wer keine Monitoring-Systeme hat und den Einbruch erst Monate später durch einen Hinweis von Sansec oder dem eigenen Hoster entdeckt, hat faktisch keine Verteidigung mehr. Bußgelder bis zu 4 Prozent des Jahresumsatzes sind der bekannte Rahmen. Weniger bekannt: Die Aufsichtsbehörden in Deutschland fragen zuerst nach dem Patch-Management-Prozess. „Wir hatten keine Zeit“ ist kein Prozess.
Was Magento-Händler jetzt konkret tun müssen
Patchen ist der erste Schritt, nicht der letzte. Die Reihenfolge zählt:
- Hotfix einspielen oder upgraden: Den Adobe-Patch VULN-32437 als Composer-Patch einspielen, danach alle Caches leeren. Wer kann, fährt gleich auf die aktuelle Version hoch.
- Auf Kompromittierung prüfen: Session-Dateien auf Auffälligkeiten scannen, das Dateisystem nach Webshells durchsuchen, Admin-Konten und API-Tokens auf unbekannte Einträge prüfen. Externe Scanner wie ThreatView liefern eine erste Außensicht.
- Backdoors entfernen, nicht nur schließen: Ein Patch ohne forensische Prüfung schließt die Tür, während der Einbrecher noch im Haus sitzt.
- Vorfall dokumentieren: Zeitpunkt von Patch und Prüfung festhalten. Das ist die Verteidigungslinie gegenüber der Aufsichtsbehörde.
Agenturen sollten ihren Kunden gegenüber klarstellen, dass Security-Patches nicht zum optionalen Wartungskontingent gehören. Wer einen Magento-Shop betreibt und keinen vertraglich geregelten Notfall-Patch-Pfad hat, hat kein Patch-Management, sondern Hoffnung.
SessionReaper wird nicht die letzte Lücke dieser Güte sein. Die REST-API von Adobe Commerce wächst mit jedem Release, und jeder Endpoint ist eine Angriffsfläche. Die eigentliche Frage für den deutschen Handel lautet deshalb nicht, ob der eigene Shop jetzt gepatcht ist. Sie lautet: Wie schnell würden Sie es beim nächsten Mal merken, wenn jemand anders Ihre Kundenkonten öffnet? Wer darauf keine Antwort in Stunden, sondern in Monaten hat, betreibt seinen Shop auf Kredit. Und die Rate ist fällig.