Adobe warnt vor kritischen Magento-Lücken nach Massenangriff

Eine neue Angriffswelle trifft Tausende Magento-Shops. Cyberkriminelle haben seit Ende Februar über 7.500 Online-Händler kompromittiert. Sie nutzen kritische Schwachstellen, die Adobe erst kürzlich gepatcht hat.

Die Defacement-Kampagne zielt gezielt auf die E-Commerce-Plattform. Angreifer platzieren Textdateien mit ihren Handles oder politischen Botschaften auf den Servern. Betroffen sind sowohl kleine Shops als auch globale Marken und Regierungsdienste.

Angriffe auf Online-Shops und E-Commerce-Plattformen zeigen, wie verwundbar die IT-Infrastruktur vieler Unternehmen aktuell ist. Dieser Experten-Report enthüllt effektive Strategien gegen Cyberkriminelle, mit denen Sie Ihre Systeme auch ohne Budget-Explosion absichern. Experten-Report zur Cyber Security kostenlos herunterladen

Wie die Angreifer vorgehen

Sicherheitsexperten von Netcraft und SecurityWeek beobachten die Attacken seit dem 20. März. Die Angreifer nutzen eine nicht authentifizierte Datei-Upload-Schwachstelle. Diese betrifft sowohl die kostenlose Magento Open Source als auch die Enterprise-Version Adobe Commerce.

Die Methode ähnelt Angriffen vom Oktober 2025. Damals kam die Schwachstelle "SessionReaper" zum Einsatz. Die aktuelle Kampagne ermöglicht es, ausführbare Dateien ohne Login hochzuladen. Das gibt Angreifern weitreichende Kontrolle über die Shops.

Adobes Notfall-Patches

Adobe reagierte bereits am 10. März mit dem Sicherheitsbulletin APSB26-05. Das Update behebt zahlreiche kritische Lücken. Dazu gehören Cross-Site-Scripting (XSS), fehlerhafte Autorisierung und Remote-Code-Execution.

Die XSS-Lücken erlauben das Einschleusen bösartiger Skripte. Diese werden in der Datenbank gespeichert und bei jedem Seitenaufruf ausgeführt. So können Angreifer Nutzersitzungen übernehmen oder unbefugte Aktionen durchführen.

Noch gefährlicher sind die Remote-Code-Execution-Schwachstellen. Sie ermöglichen die vollständige Übernahme des Servers. Sensible Kundendaten wären dann in Gefahr, Shops könnten manipuliert oder komplett abgeschaltet werden.

Neben technischen Lücken nutzen Hacker oft psychologische Muster und Phishing-Methoden, um Zugriff auf Unternehmensnetzwerke zu erhalten. Erfahren Sie in dieser 4-Schritte-Anleitung, wie Sie Ihr Unternehmen wirksam vor aktuellen Hacker-Methoden und Betrugsmaschen schützen. Kostenloses Anti-Phishing-Paket anfordern

Was Shop-Betreiber jetzt tun müssen

Adobe hat Patches für unterstützte Versionen bereitgestellt. Dazu gehören 2.4.8-p4, 2.4.7-p9 und 2.4.6-p14. Die Installation sollte umgehend erfolgen – idealerweise zuerst in einer Testumgebung.

Doch Patches allein reichen nicht. Sicherheitsexperten empfehlen umfassende Audits aller Installationen. Besonders kritisch: Drittanbieter-Erweiterungen und Plugins. Oft bieten sie zusätzliche Angriffsflächen.

Web Application Firewalls (WAF) können bösartige Anfragen erkennen und blockieren. Content Security Policy (CSP)-Header schränken die Ausführung von Skripten ein. Regelmäßige Backups ermöglichen im Ernstfall eine schnelle Wiederherstellung.

Die aktuelle Angriffswelle zeigt: Sicherheit im E-Commerce ist kein Nice-to-have, sondern überlebenswichtig. Wer jetzt nicht handelt, riskiert mehr als nur eine beschädigte Website – es geht um Kundendaten, Reputation und Geschäftskontinuität.

boerse | 68965221 |