CVE-2026-75650
Adobe Commerce ist von einer Schwachstelle durch unsachgemäße Neutralisierung von Sonderelementen, die in einer Template-Engine verwendet werden, betroffen, die zur Ausführung von beliebigem Code im Kontext des aktuellen Benutzers führen könnte. Ein Angreifer könnte diese Schwachstelle ausnutzen, um beliebigen Code auszuführen. Die Ausnutzung dieses Problems erfordert keine Benutzerinteraktion. Scope ist geändert.
Aktiv ausgenutzt
- Seit dem 08.09.2026 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 11.09.2026 beheben (BOD 22-01)
- Angegriffen 1 Tag bevor die Schwachstelle öffentlich wurde
- Durch Sensoren bestätigt, nicht nur durch Meldungen
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Quelle: CISA KEV · 14.09.2026 14.09.2026 10.09.2026 08.09.2026 08.09.2026 07.09.2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| adobe | commerce | < 2.4.4 |
| adobe | commerce b2b | < 1.3.3 |
| adobe | magento | < 2.4.6 |
Verwandte Artikel
CISA nimmt zwei aktiv ausgenutzte Schwachstellen in den KEV auf und gibt Bundesbehörden drei Tage Zeit für Patches
CISA warnt vor aktiv ausgenutzten WSO2- und Adobe-Commerce-Lücken. Bundesbehörden müssen bis 27.9.2026 patchen und Systeme forensisch prüfen.
Fortinet CVE-2025-25249 in großem Umfang ausgenutzt, um PivotC2-RAT zu installieren
CVE-2025-25249 in FortiOS u.a. wird aktiv ausgenutzt, um PivotC2-RAT zu installieren. Über 30.000 IPs gescannt, 178 Geräte infiziert. Jetzt patchen.
Aktiv ausgenutzte Schwachstelle in N-able N-central ermöglicht Remote-Codeausführung vor der Authentifizierung
CVE-2026-86218 in N-able N-central ermöglicht RCE ohne Login und wird aktiv ausgenutzt. CISA fordert Patch auf Hotfix 4 bis 11.09.2026.
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.