Im Mittelpunkt der Warnung steht CVE-2026-71362, eine als kritisch eingestufte Schwachstelle in Adobe Commerce und Magento. Adobe beschreibt sie als Fehler bei der Autorisierung, über den sich ohne Authentifizierung erhöhter Zugriff auf sensible Ressourcen erlangen lässt. Der Hersteller hat die Lücke gestern im Rahmen eines Sicherheitsupdates geschlossen.
Adobe betont in seinem Sicherheitshinweis, dass dem Unternehmen keine Ausnutzung der behobenen Schwachstellen unter realen Bedingungen bekannt sei. Sansec widerspricht dieser Einschätzung nicht direkt, berichtet aber, dass seine Shield-Web-Application-Firewall bereits Exploit-Versuche gegen CVE-2026-71362 blockiert. Nach Angaben von Sansec braucht ein Angreifer dafür weder ein bestehendes Konto noch Administratorrechte oder eine Interaktion eines Nutzers.
Die Forscher führten ihre Analyse auf den von Adobe bereitgestellten Patch zurück. Dabei lokalisierten sie das Problem laut Sansec in der Art, wie Magento die Kundenidentität innerhalb einer Kontositzung verarbeitet. Sansec erklärt, die Schwachstelle ermögliche es Angreifern, eine Kundensitzung auf das Konto eines anderen Kunden umzuschalten. Dadurch erhielten sie Zugriff auf das Konto des Opfers und auf private Kundendaten.
Neben CVE-2026-71362 hat Adobe mit demselben Update sechs weitere Schwachstellen behoben. Vier davon stuft der Hersteller als hoch ein, die beiden übrigen als mittel beziehungsweise niedrig. Einzelheiten zu diesen weiteren Lücken nennt der vorliegende Text nicht, hebt aber hervor, dass die kritische Kontenübernahme-Lücke nur eine von insgesamt sieben adressierten Sicherheitsproblemen ist.
Adobe empfiehlt Administratoren von Websites, das Sicherheitsupdate vom August 2026 für die aktuell unterstützten Release-Linien von Commerce, Commerce B2B und Magento so schnell wie möglich einzuspielen. Sansec weist ergänzend darauf hin, dass die monatlichen Korrekturen als isolierte Patch-Dateien verteilt werden und nicht als neue Sicherheitsversion oder aktualisierte Composer-Pakete.
Bevor Betreiber den jeweiligen isolierten Patch einspielen, müssen sie laut Sansec zunächst sicherstellen, dass auf ihrer unterstützten Release-Linie bereits die neueste verfügbare -p-Version läuft. Erst danach soll der zugehörige Einzel-Patch angewendet werden. Für betroffene Installationen ist diese Reihenfolge relevant, weil Adobe die Korrekturen nach Sansecs Darstellung nicht als vollständiges neues Paket ausliefert.
Die Meldung ordnet sich in eine Reihe aktueller Warnungen zu bereits angegriffenen Schwachstellen ein: Im Quelltext werden zudem Hinweise auf eine maximal kritische Adobe-ColdFusion-Lücke, eine von Cisco gemeldete ASA- und FTD-VPN-Schwachstelle, eine neue SonicWall-SMA1000-Zero-Day-Lücke, eine kritische Progress-LoadMaster-Lücke sowie eine von N-able gemeldete Authentifizierungsumgehung in N-central erwähnt. Im Fokus dieses Falls steht jedoch CVE-2026-71362 in Adobe Commerce und Magento.