Magento Open Source Sicherheitsupdate 14.07.2026 – APSB26-73 – 2.4.6-p15, 2.4.7-p10, 2.4.8-p5, 2.4.9,
Adobe hat am 14. Juli 2026 das Sicherheitsupdate APSB26-73 veröffentlicht. Für Magento Open Source betrifft es die Versionsreihen 2.4.9, 2.4.8, 2.4.7 und 2.4.6. Adobe bewertet die behobenen Schwachstellen teilweise als kritisch.
Eine erfolgreiche Ausnutzung könnte unter anderem zur Ausführung fremden Codes, zur Ausweitung von Benutzerrechten oder zur Umgehung von Sicherheitsfunktionen führen. Zum Zeitpunkt der Veröffentlichung waren Adobe keine aktiven Angriffe bekannt, welche die behandelten Schwachstellen bereits ausnutzen.
Shopbetreiber sollten den Patch zeitnah einplanen. Dabei reicht es nicht aus, lediglich den Installationsbefehl auszuführen. Es muss geprüft werden, ob alle Änderungen vollständig angewendet wurden und ob der Shop danach weiterhin zuverlässig funktioniert.
Ein am 15. Juli 2026 eröffneter GitHub-Issue zeigt, warum diese Kontrolle wichtig ist. Bei einem Test mit Magento Open Source 2.4.8-p5 konnten mehrere Bestandteile des offiziellen isolierten Patches nicht angewendet werden. Der Issue ist aktuell noch offen und wartet auf eine Bestätigung. Es ist daher noch nicht geklärt, ob das Problem alle Installationen dieser Version betrifft.
vgl. aktuelle stand hier https://github.com/magento/magento2/issues/40991
Was ist APSB26-73?
APSB26-73 ist die Kennzeichnung des Adobe Security Bulletins vom 14. Juli 2026. Das Bulletin beschreibt Sicherheitslücken, betroffene Magento-Versionen und die bereitgestellten Korrekturen.
https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-37421
Adobe ordnet das Update der Prioritätsstufe 2 zu. Diese Einstufung berücksichtigt unter anderem die Schwere der Schwachstellen und die bisher bekannte Wahrscheinlichkeit einer aktiven Ausnutzung. Adobe empfiehlt, die Sicherheitskorrekturen möglichst schnell einzuspielen.
Für Magento Open Source stellt Adobe isolierte Patch-Dateien bereit. Diese enthalten gezielte Codeänderungen für die Sicherheitsprobleme aus APSB26-73. Damit kann die Korrektur eingespielt werden, ohne unmittelbar ein vollständiges Magento-Versionsupdate durchzuführen.
Die isolierten Patches sind jedoch an einen genau definierten Ausgangsstand gebunden. Eine ähnliche Versionsnummer reicht nicht aus.
Der installierte Shop muss dem Patchstand entsprechen, gegen den Adobe die Datei getestet hat.
Welche Magento Open Source Versionen sind betroffen?
Adobe nennt für Magento Open Source folgende betroffene Versionen:
| Versionsreihe | Betroffener Stand |
|---|---|
| Magento Open Source 2.4.9 | Version 2.4.9 |
| Magento Open Source 2.4.8 | 2.4.8-p5 und ältere Patchstände |
| Magento Open Source 2.4.7 | 2.4.7-p10 und ältere Patchstände |
| Magento Open Source 2.4.6 | 2.4.6-p15 und ältere Patchstände |
Für diese Versionsreihen stehen folgende isolierte Patch-Pakete bereit:
| Ausgangsversion | Patch-Paket |
|---|---|
| 2.4.9 | 2-4-9-jul-2026.zip |
| 2.4.8-p5 | 2-4-8-p5-jul-2026.zip |
| 2.4.7-p10 | 2-4-7-p10-jul-2026.zip |
| 2.4.6-p15 | 2-4-6-p15-jul-2026.zip |
Adobe weist ausdrücklich darauf hin, dass ein isolierter Sicherheitspatch nur gegen die jeweils aktuelle Security-Patch-Version einer unterstützten Versionsreihe getestet wurde.
Ein Shop mit Magento 2.4.8-p3 sollte den Patch für 2.4.8-p5 daher nicht unmittelbar erhalten. Zuerst muss geprüft werden, welche Aktualisierungsschritte bis zum erforderlichen Ausgangsstand fehlen.
Die Formulierung „und ältere Versionen“ bedeutet, dass diese Magento-Versionen von den Sicherheitslücken betroffen sein können. Sie bedeutet nicht, dass dieselbe Patch-Datei auf jeden älteren Stand angewendet werden kann.
Welche Sicherheitsrisiken behandelt das Update?
Adobe führt für Magento Open Source kritische, wichtige und moderate Schwachstellen auf. Die Probleme betreffen unterschiedliche Bereiche des Systems.
Upload gefährlicher Dateien
Eine kritische Schwachstelle betrifft den unbeschränkten Upload von Dateien mit gefährlichen Dateitypen. Adobe bewertet CVE-2026-48356 mit einem CVSS-Wert von 9,6.
Für eine Ausnutzung sind laut Bulletin keine Zugangsdaten und keine Administratorrechte erforderlich. Eine Benutzerinteraktion ist jedoch notwendig.
Ein unzureichend geschützter Datei-Upload kann dazu führen, dass Dateien gespeichert oder verarbeitet werden, die im Shop nicht zugelassen sein sollten. Die konkrete Auswirkung hängt davon ab, welche Funktion und welcher Speicherort betroffen sind.
Umgehung von Berechtigungen
Mehrere Schwachstellen entstehen durch fehlerhafte oder unvollständige Berechtigungsprüfungen. Angreifer könnten dadurch auf Funktionen oder Informationen zugreifen, die für sie nicht vorgesehen sind.
Besonders relevant sind CVE-2026-47988 und CVE-2026-47984. Laut Adobe können diese Schwachstellen ohne Anmeldung und ohne Administratorrechte ausgenutzt werden. Die CVSS-Werte liegen bei 8,6 und 8,2.
Weitere Berechtigungsfehler sind als wichtig eingestuft. Deren Ausnutzung ist schwieriger, kann aber ebenfalls zur Offenlegung von Informationen oder zur Umgehung von Sicherheitsfunktionen führen.
Gespeichertes Cross-Site-Scripting
APSB26-73 behebt mehrere Stored-XSS-Schwachstellen. Dabei werden manipulierte Inhalte im System gespeichert und später im Browser eines anderen Benutzers ausgeführt.
Mögliche Auswirkungen sind:
- Manipulation der angezeigten Inhalte
- Ausführung unerwünschter Aktionen im Browser
- Zugriff auf Informationen innerhalb einer angemeldeten Sitzung
- Vorbereitung weiterer Angriffe
Die konkrete Gefährdung hängt davon ab, wo ein manipulierter Inhalt gespeichert und später ausgegeben wird.
Risiken bei Webhooks
CVE-2026-48358 betrifft laut Adobe Webhooks. Die Schwachstelle kann zur Ausführung fremden Codes führen und besitzt einen CVSS-Wert von 9,1.
Für eine Ausnutzung sind eine Anmeldung und Administratorrechte erforderlich.
Betreiber, die Webhooks oder individuelle Automatisierungen einsetzen, sollten diese Funktionen nach dem Patch gezielt prüfen. Das gilt beispielsweise für angebundene ERP-Systeme, Warenwirtschaften, Versandprozesse oder selbst entwickelte Integrationen.
Fehlerhafte Eingabeprüfung
Eine weitere kritische Schwachstelle entsteht durch eine unzureichende Validierung von Eingaben. Adobe nennt als mögliche Auswirkung eine Ausweitung von Berechtigungen.
Auch hier sind laut Bulletin eine Anmeldung und Administratorrechte notwendig. Der CVSS-Wert beträgt 7,2.
Weiterleitungen und Offenlegung von Informationen
Das Update behandelt außerdem eine mögliche Weiterleitung auf eine nicht vertrauenswürdige Seite sowie eine Schwachstelle zur Offenlegung von Informationen.
Adobe stuft diese Probleme als moderat ein. Eine moderate Einstufung bedeutet nicht, dass sie ignoriert werden sollten. In Kombination mit weiteren Schwachstellen können auch kleinere Probleme Teil eines komplexeren Angriffs werden.
Wie dringend sollte APSB26-73 installiert werden?
Der Patch sollte zeitnah geprüft und eingespielt werden. Adobe empfiehlt ausdrücklich, die aktuellen Sicherheitsupdates möglichst schnell anzuwenden.
Die Veröffentlichung eines Sicherheitsbulletins macht bekannt, welche Arten von Schwachstellen behoben wurden. Sicherheitsforscher und Angreifer können veröffentlichte Änderungen analysieren und nach vergleichbaren verwundbaren Installationen suchen.
Die Information, dass Adobe noch keine aktiven Angriffe kennt, beschreibt nur den Stand bei Veröffentlichung am 14. Juli 2026. Diese Einschätzung kann sich ändern.
Die technische Umsetzung sollte trotzdem kontrolliert erfolgen. Ein individuell angepasster Magento-Shop kann durch einen Patch an anderer Stelle beeinträchtigt werden. Mögliche Konflikte entstehen unter anderem durch:
- eigene Module
- Erweiterungen von Drittanbietern
- individuelle Änderungen an Magento-Kerndateien
- Composer-Patches
- frühere Sicherheits-Hotfixes
- angepasste Checkout-Prozesse
- eigene API-Erweiterungen
- individuelle Webhooks
Ein schneller Patch ist nur dann hilfreich, wenn er vollständig angewendet wurde und die wichtigsten Shopfunktionen anschließend noch arbeiten.
Wie funktioniert ein isolierter Magento-Patch?
Ein isolierter Patch enthält gezielte Änderungen an bestehenden Dateien. Die Patch-Datei beschreibt, welche Codezeilen gesucht, entfernt oder ergänzt werden sollen. Falls die Dateipfade innerhalb der Patch-Datei nicht mit der Installation übereinstimmen, nennt Adobe -p2 als mögliche Alternative.
Vor der Installation empfiehlt Adobe ein aktuelles Backup und einen Test in einer Staging- oder Integrationsumgebung.
Der Patch sollte NIEMALS direkt im produktiven Shop ausprobiert werden. Fehlerhafte oder nur teilweise angewendete Änderungen können zu einem schwer nachvollziehbaren Systemzustand führen.
Welches Problem wurde bei Magento 2.4.8-p5 gemeldet?
Im offiziellen Magento-Repository wurde am 15. Juli 2026 der GitHub-Issue 40991 eröffnet. Der Melder beschreibt dort ein Problem mit dem für Magento Open Source 2.4.8-p5 veröffentlichten Patch.
vgl. aktuelle stand hier https://github.com/magento/magento2/issues/40991
Der dokumentierte Ablauf war:
- Magento Open Source 2.4.8-p5 per Composer installieren
- offizielles Patch-Paket herunterladen
- Datei
248p5-2026-07-001-CE.patchentpacken - Dry Run mit dem Patch-Programm durchführen
- Ausgabe auf Fehler prüfen
Der verwendete Prüfbefehl lautet:
patch --dry-run -p1 < 248p5-2026-07-001-CE.patch
Bei diesem Test konnten mehrere Änderungsblöcke nicht angewendet werden. Die Fehler betrafen Dateien im Modul Magento_Quote.
Unter anderem wurden folgende Klassen genannt:
vendor/magento/module-quote/Model/GuestCart/GuestBillingAddressManagement.php
vendor/magento/module-quote/Model/GuestCart/GuestCartItemRepository.php
vendor/magento/module-quote/Model/GuestCart/GuestCartRepository.php
vendor/magento/module-quote/Model/GuestCart/GuestCouponManagement.php
vendor/magento/module-quote/Model/GuestCart/GuestPaymentMethodManagement.php
vendor/magento/module-quote/Model/GuestCart/GuestShippingAddressManagement.php
Damit betreffen die gemeldeten Fehler unter anderem folgende Bereiche:
- Rechnungsadresse eines Gastwarenkorbs
- Artikelverwaltung im Gastwarenkorb
- Zugriff auf den Gastwarenkorb
- Gutscheinverwaltung
- Zahlungsarten
- Lieferadresse
Bei der Datei GuestCartTotalManagement.php wurde der betreffende Änderungsblock laut Ausgabe mit fuzz 1 angewendet. Mehrere andere Blöcke schlugen vollständig fehl.
Ist der Patch für Magento 2.4.8-p5 fehlerhaft?
Dazu gibt es aktuell keine gesicherten Informationen.
Der GitHub-Issue dokumentiert ein konkretes und nachvollziehbar beschriebenes Problem. Der Issue ist am 15. Juli 2026 weiterhin offen und trägt den Status „Ready for Confirmation“.
Es gibt bisher:
- keine offizielle Bestätigung des Problems
- keine zugeordnete verantwortliche Person
- keinen verknüpften Pull Request
- keine korrigierte Patch-Datei innerhalb des Issues
- keine bestätigte Erklärung für die Ursache
Der Issue ist ausdrücklich mit Magento Open Source 2.4.8-p5 gekennzeichnet. Aus ihm lässt sich nicht ableiten, dass auch die Patches für 2.4.9, 2.4.7-p10 oder 2.4.6-p15 betroffen sind.
Ebenso wäre die Aussage verfrüht, dass alle Installationen von Magento Open Source 2.4.8-p5 denselben Fehler zeigen.
Was sollten Betreiber von Magento 2.4.8-p5 jetzt tun?
Betreiber von Magento Open Source 2.4.8-p5 sollten den gemeldeten Fehler bei ihrer Patchplanung berücksichtigen.
Schlägt der offizielle Patch bereits in einer sauberen Magento-2.4.8-p5-Installation fehl, sollte die Ursache vor dem Live-Deployment geklärt werden.
Eine selbst angepasste Patch-Datei sollte nur verwendet werden, wenn die Änderungen fachlich geprüft und gegen den erwarteten Sicherheitsfix verglichen wurden.
Was gilt für Magento 2.4.9, 2.4.7-p10 und 2.4.6-p15?
Für diese Versionen beschreibt der GitHub-Issue derzeit kein vergleichbares Problem.
Das bedeutet jedoch nicht, dass die Installation ungeprüft erfolgen sollte. Auch bei diesen Versionen sind folgende Schritte sinnvoll:
- Versionsstand kontrollieren
- offizielles Patch-Paket verwenden
- Dry Run ausführen
- Ausgabe dokumentieren
- Patch in einer Testumgebung anwenden
- geänderte Dateien prüfen
- Checkout und Schnittstellen testen
- Patchstatus nach der Installation kontrollieren
Eigene Module oder frühere Änderungen können unabhängig von einem Fehler im offiziellen Patch zu Konflikten führen.
Welche Funktionen sollten nach APSB26-73 getestet werden?
Die Tests sollten sich am tatsächlichen Aufbau des Shops orientieren. Wegen der im GitHub-Issue genannten Dateien verdient der Gast-Checkout besondere Aufmerksamkeit.
Gastwarenkorb und Checkout
- Produkt in den Warenkorb legen
- Produktmenge verändern
- Produkt entfernen
- Warenkorb erneut aufrufen
- Rechnungsadresse eingeben
- Lieferadresse eingeben
- Versandart auswählen
- Zahlungsart auswählen
- Gutschein anwenden
- Gutschein entfernen
- Bestellung abschließen
- Bestellbestätigung prüfen
Kundenkonto
- Registrierung
- Anmeldung
- Passwortzurücksetzung
- gespeicherte Adressen
- Bestellung als angemeldeter Kunde
- Bestellhistorie
- erneute Bestellung
Magento-Administration
- Anmeldung
- Rollen und Berechtigungen
- Produktbearbeitung
- Kategorien
- CMS-Seiten
- Datei- und Bild-Uploads
- Bestellbearbeitung
- Rechnungen und Gutschriften
- Konfiguration
Schnittstellen
- Magento REST API
- GraphQL
- ERP-Anbindung
- Warenwirtschaft
- PIM
- Zahlungsanbieter
- Versanddienstleister
- Webhooks
- individuelle Importe und Exporte
Technischer Betrieb
- Cronjobs
- Indexer
- Cache
- Warteschlangen
- E-Mail-Versand
- PHP-Fehlerprotokoll
- Magento-Logs
- Webserver-Logs
- Checkout-Performance
Nicht jeder Shop benötigt alle Tests. Entscheidend sind die Prozesse, über die Bestellungen, Zahlungen, Kundendaten und externe Systeme laufen.
Unterstützung bei Patch einspielen benötigt?
Wir haben über 15 Jahre Magento Erfahrung und unterstützen unterschiedlichsten Unternehmen bei Ihrem Magento Onlineshops.
mehr zum Thema Magento Patches einspielen gibt es hier
mehr zum Thema wie lange eine Magento Version Patches erhält gibt es hier
mehr zum Thema Magento Betreuung gibt es hier
Fazit
APSB26-73 schließt mehrere kritische Sicherheitslücken in Magento Open Source. Betroffen sind die Versionsreihen 2.4.9, 2.4.8, 2.4.7 und 2.4.6. Adobe empfiehlt eine zeitnahe Installation.
Der offene GitHub-Issue 40991 dokumentiert ein mögliches Problem mit dem isolierten Patch für Magento Open Source 2.4.8-p5. Mehrere Änderungen im Gastwarenkorb konnten bei dem beschriebenen Dry Run nicht angewendet werden.
Ob die Patch-Datei grundsätzlich fehlerhaft ist, wurde bisher nicht bestätigt. Auch eine Übertragung des Problems auf andere Magento-Versionen ist derzeit nicht möglich.
Für Shopbetreiber folgt daraus ein klares Vorgehen. Der Patch sollte zuerst in einer Testumgebung geprüft werden. Ein Dry Run, die Kontrolle sämtlicher Meldungen, gezielte Checkout-Tests und das Commerce Version Tool helfen dabei, eine unvollständige Installation zu erkennen.
Ein ausgeführter Patch-Befehl ist noch kein Nachweis für einen vollständig abgesicherten Magento-Shop. Entscheidend ist das dokumentierte und geprüfte Ergebnis.
Quellen und weiterführende Informationen
Adobe Security Bulletin APSB26-73
Übersicht der betroffenen Magento Open Source Versionen, Sicherheitslücken, CVE-Nummern und Schweregrade.
https://helpx.adobe.com/security/products/magento/apsb26-73.html
Adobe-Hinweise zum Sicherheitsupdate APSB26-73
Informationen zu den isolierten Patch-Dateien, den erforderlichen Ausgangsversionen und zur Installationsreihenfolge.
https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-37421
Adobe-Anleitung zum Einspielen eines Composer-Patches
Technische Anleitung zur Installation einer von Adobe bereitgestellten Patch-Datei.
Dokumentation des Commerce Version Tools
Beschreibung der Prüfung installierter und fehlender Sicherheitspatches sowie der Zuordnung zu einzelnen CVEs.
https://experienceleague.adobe.com/en/docs/commerce-operations/tools/commerce-version-tool/intro
GitHub-Issue 40991 zum Patch für Magento Open Source 2.4.8-p5
Dokumentation des gemeldeten Problems, bei dem mehrere Bestandteile des isolierten APSB26-73-Patches während eines Dry Runs nicht angewendet werden konnten.
