Die Angreifer injizieren nach Darstellung von Sansec Code, der über Magentos standardmäßige Benachrichtigung „Payment Transaction Failed Reminder“ zur Ausführung kommt – ohne jede Nutzerinteraktion. In seinem aktualisierten Bericht schreibt Sansec, dass mehrere Angreifergruppen die Schwachstelle ins Visier genommen haben, um Backdoors und Web-Shells zu installieren.
Betreiber von Commerce und Magento sollen Adobes Fixes deshalb so schnell wie möglich einspielen und darüber hinaus ihre Verschlüsselungsschlüssel sowie alle damit geschützten Zugangsdaten austauschen. Sansec nennt konkret Administrator-Passwörter, Datenbank-Zugangsdaten, Integrations-Token, OAuth-Geheimnisse, SSH- und Deploy-Keys sowie API-Schlüssel. Wichtig sei, die Rotation an der Quelle vorzunehmen: „Rotiert diese an der Quelle, nicht nur innerhalb von Magento. Das Rotieren des Verschlüsselungsschlüssels allein macht nichts ungültig, was ein Angreifer bereits gelesen hat“, so Sansec.
Am Dienstag legte Adobe acht weitere Commerce-Korrekturen nach: darunter zwei als kritisch eingestufte Schwachstellen zur Rechteausweitung sowie sechs hoch eingestufte Fehler, die Rechteausweitung oder das Umgehen von Sicherheitsmechanismen erlauben.
Dringend sind auch die Updates für Campaign Classic. Dort schließt Adobe CVE-2026-82004 mit einem CVSS-Wert von 10 von 10 – eine OS-Command-Injection, die zur Ausführung beliebigen Codes führt.
Die neuen ColdFusion-Updates erhielten ebenfalls die Prioritätsstufe 1. Sie beheben zwei kritische Schwachstellen, die Codeausführung ermöglichen: CVE-2026-48273 (CVSS 9,9) und CVE-2026-75746 (CVSS 9,1), dazu sieben Lücken mit hohem und mittlerem Schweregrad. Adobe empfiehlt, alle Updates der Priorität 1 innerhalb von drei Tagen nach Veröffentlichung einzuspielen.
Den größten Einzelposten stellt Experience Manager mit 107 behobenen Schwachstellen. Hinzu kommen 32 Fixes für Acrobat Reader, acht für Photoshop, drei für Illustrator und einer für Animate; auch für Photoshop Mobile wurden Korrekturen ausgeliefert.
Abgesehen vom Zero-Day in Commerce und Magento liegen Adobe nach eigenen Angaben keine Hinweise darauf vor, dass eine der nun geschlossenen Schwachstellen in Angriffen ausgenutzt wird. Weitere Details finden sich auf Adobes Seite mit Sicherheitshinweisen.