Kurzfassung

Adobe Commerce ist von CVE-2026-75650 betroffen, einer kritischen Schwachstelle in der Template-Verarbeitung. Ein Angreifer kann darüber eigenen Code ausführen. Nutzer müssen dafür nichts anklicken. Für Unternehmen mit öffentlich erreichbarer Commerce-Instanz ist das ein ernstes Thema.

Wer Adobe Commerce betreibt, sollte den Patch-Stand sofort prüfen und die Systeme priorisiert absichern. Bei solchen Lücken zählt nicht die Theorie, sondern die Frage, wie schnell ein Angreifer vom Webzugriff zur Systemübernahme kommt.

Was ist passiert?

Die Schwachstelle steckt laut NVD in der Art, wie Adobe Commerce besondere Zeichen in einer Template-Engine verarbeitet. Vereinfacht gesagt: Eingaben werden nicht sauber genug neutralisiert, bevor sie in die Vorlagenlogik laufen.

Der Effekt ist unschön und klar: Aus einem präparierten Angriff kann Codeausführung im Kontext des aktuellen Nutzers werden. Die Quelle nennt außerdem eine geänderte Angriffsreichweite. Das deutet darauf hin, dass der Fehler mehr als nur einen einzelnen Verarbeitungsschritt betrifft. Welche Produktversionen genau verwundbar sind, bleibt in dem Auszug offen.

Technische Details

CVE-2026-75650 ist als kritisch eingestuft. Die NVD beschreibt das Problem als Improper Neutralization of Special Elements Used in a Template Engine. Das ist typischerweise ein Muster, bei dem Angreifer über manipulierte Eingaben Steuerzeichen oder Template-Syntax einschleusen.

Besonders relevant ist: Für die Ausnutzung ist keine Nutzerinteraktion nötig. Das senkt die Hürde für Angreifer deutlich. In der Praxis reichen bei solchen Lücken oft schon eine verwundbare Webanwendung und ein erreichbarer Angriffsweg über das Internet oder interne Applikationsschnittstellen.

Die mögliche Folge ist Arbitrary Code Execution. Damit ist im Zweifel mehr als ein einzelner Request kompromittiert. Je nach Berechtigungen des betroffenen Prozesses kann das bis zur vollständigen Übernahme der Anwendung oder weiterer Systeme reichen.

Wer ist betroffen?

Betroffen ist Adobe Commerce. Das ist für viele Unternehmen im DACH-Raum relevant, die ihre Shops selbst betreiben oder in eine größere E-Commerce-Landschaft eingebunden haben. Gerade dort laufen oft Zahlung, Kundendaten, Bestellungen und Schnittstellen zu ERP oder PIM zusammen.

Für Privatnutzer spielt das Thema nur indirekt eine Rolle, etwa wenn sie bei einem betroffenen Shop einkaufen. Das eigentliche Risiko liegt bei den Betreibern. Ob auch abgeleitete Produkte oder ältere Zweige betroffen sind, geht aus dem vorliegenden Auszug nicht hervor.

Empfohlene Maßnahmen

Priorität eins ist simpel: Betroffene Adobe-Commerce-Instanzen sofort auf einen verfügbaren Patch-Stand prüfen und zügig aktualisieren. Wenn Adobe ein Advisory mit Fix nennt, sollte dieses als maßgebliche Quelle herangezogen werden: Adobe Advisory.

Bis zum Patch gehören exponierte Instanzen unter verschärfte Beobachtung. Admins sollten Web-Logs, Fehlerprotokolle und ungewöhnliche Template-Aufrufe prüfen. Auch verdächtige Dateischreibvorgänge oder neue Prozesse auf dem Applikationsserver sind ernst zu nehmen.

Wer die Anwendung nicht sofort patchen kann, sollte den externen Zugriff so weit wie möglich begrenzen, etwa per WAF-Regelwerk, IP-Restriktionen oder temporärer Abschirmung von Verwaltungs- und Backend-Zugängen. Das ersetzt den Patch nicht. Es kauft nur Zeit.

Nach der Aktualisierung lohnt ein Blick auf Integrität und Seiteneffekte: neue Administratoren, veränderte Konfigurationsdateien, unbekannte Cronjobs, ungewöhnliche Outbound-Verbindungen. Bei einer Schwachstelle mit Codeausführung ist eine reine Versionsprüfung zu wenig.

Einschätzung von CyberSecurity-News.de

Die Lage ist klar ernst, aber noch nicht spektakulär ausgeschmückt. Kritisch ist hier vor allem die Kombination aus fehlender Nutzerinteraktion und möglicher Codeausführung. Genau solche Fehler landen erfahrungsgemäß schnell im Fokus von Angreifern, sobald sie öffentlich bekannt sind.

Die Informationslage bleibt in dem Auszug allerdings dünn. Versionsbereiche, Exploit-Reife und ein offizielles Advisory sind hier nicht genannt. Das ist für Betreiber unschön, aber kein Grund zur Beruhigung. Wer Adobe Commerce produktiv und aus dem Internet erreichbar betreibt, sollte jetzt handeln statt auf weitere Details zu warten.

Fazit

CVE-2026-75650 ist eine kritische Adobe-Commerce-Schwachstelle mit dem Potenzial zur Codeausführung ohne Nutzeraktion. Für Shops und E-Commerce-Betreiber ist das ein unmittelbares Patch-Thema.

Die richtige Reihenfolge ist klar: Patchen, Logs prüfen, Angriffsfläche reduzieren. Alles andere kostet Zeit, die Angreifer oft schon haben.

Quellenangabe

NVD-Eintrag zu CVE-2026-75650: https://nvd.nist.gov/vuln/detail/CVE-2026-75650