Die von Sansec beobachtete Hintertür tarnt ihren Command-and-Control-Server als gewöhnlichen NTP-Server (Network Time Protocol). Trotz dieser Verschleierung hinterlässt sie auf kompromittierten Systemen deutliche Spuren — etwa E-Mails mit dem Betreff „Erinnerung: Zahlungstransaktion fehlgeschlagen“, die als Indikator für eine Infektion dienen können.
Adobe hat den Fix in einer Aktualisierung seines Sicherheitshinweises nachgeliefert. Die Schwachstelle betrifft mehrere Versionsstränge der beiden E-Commerce-Produkte. Wichtig für Betreiber: Laut Adobe wurde der Hotfix ausschließlich gegen die August-2026-Releases der betroffenen Produktzweige getestet. Er funktioniert möglicherweise auch mit anderen Releases, die Kompatibilität ist dafür jedoch nicht bestätigt.
Nach dem Einspielen des Hotfixes empfiehlt Adobe ein mehrstufiges Vorgehen: Administratoren sollen den Wartungsmodus aktivieren, Cron-Jobs anhalten und anschließend sämtliche Geheimnisse rotieren. Dazu zählen Administratorpasswörter, GraphQL-Integrationstokens, OAuth-Client-Secrets, API-Zugangsdaten von Zahlungsdienstleistern, Datenbank-Zugangsdaten, SSH-Schlüssel und API-Schlüssel. Erst danach sollten der Cache geleert, die Cron-Ausführung wiederhergestellt und der Wartungsmodus deaktiviert werden.
In einer Ergänzung zu seinem ursprünglichen Bericht meldet Sansec, dass ein zweiter Angreifer mit einem davon unabhängigen Werkzeugsatz CVE-2026-75650 ausnutzt. Dieser bringt eine lediglich 485 Byte große PHP-Webshell auf die Server. Die Schadsoftware sammelt grundlegende Serverinformationen, prüft, ob das Verzeichnis pub/media beschreibbar ist, und leitet die gesammelten Daten über Anfragen an eine Subdomain von oast.site ab — eine Infrastruktur, die typischerweise bei Sicherheitstests mit dem Open-Source-Werkzeug Interactsh zum Einsatz kommt.
Weil die Zahl der Ausnutzungsversuche steigt, rät Sansec Administratoren nachdrücklich, den Hotfix beziehungsweise die von Adobe genannten Gegenmaßnahmen ohne Verzögerung umzusetzen. Angesichts der Möglichkeit, dass Angreifer bereits vor dem Patch Zugriff erlangt haben, ist die Rotation der Zugangsdaten dabei kein optionaler Zusatzschritt, sondern Teil der von Adobe vorgegebenen Abfolge.