Verwandte Schwachstelle · Adobe Commerce / Magento · APSB25-88
Magento SessionReaper (CVE-2025-54236): Ist mein Shop betroffen und wie patche ich?
CVE-2025-54236 ist eine fehlerhafte Eingabevalidierung in Adobe Commerce und Magento Open Source, kritisch mit CVSS 9.1. Adobe meldet aktive Ausnutzung. Es ist kein PHP-Laufzeitfehler; ein PHP-Update behebt ihn nicht.
Zuletzt aktualisiert
Worum es geht
- Adobes Bulletin APSB25-88 (9. September 2025) beschreibt eine kritische fehlerhafte Eingabevalidierung (CWE-20), die zur Umgehung einer Sicherheitsfunktion führt; CVSS 3.1 9.1, ohne Authentifizierung und ohne Adminrechte.
- Laut Adobes Support-Artikel könnte ein Angreifer über die Commerce-REST-API Kundenkonten übernehmen.
- Sansec, das den Fehler SessionReaper nannte, berichtet, dass er in manchen Konfigurationen zu Remote Code Execution ohne Anmeldung führen kann. Das ist Sansecs Befund, nicht Teil des Adobe-Bulletins.
- Am 22. Oktober 2025 ergänzte Adobe, dass Ausnutzung bekannt ist, und hob am 24. Oktober 2025 die Priorität auf 1.
Betroffene Versionen
| Produkt | Betroffen (und älter) |
|---|---|
| Adobe Commerce | 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 |
| Adobe Commerce B2B | 1.5.3-alpha2, 1.5.2-p2, 1.4.2-p7, 1.3.4-p14, 1.3.3-p15 |
| Magento Open Source | 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14 |
| Custom Attributes Serializable (magento/out-of-process-custom-attributes) | 0.1.0 – 0.4.0 |
So beheben Sie es
- Spielen Sie Adobes isolierten Hotfix
VULN-32437-2-4-X-patch(von repo.magento.com) nach Adobes Anleitung für Composer-Patches ein oder aktualisieren Sie auf ein neueres Sicherheitsrelease Ihrer Linie. - Ist
magento/out-of-process-custom-attributesinstalliert, aktualisieren Sie es wie von Adobe beschrieben (composer require magento/out-of-process-custom-attributes=0.4.0 --with-dependencies) und spielen dann den Hotfix ein. - Adobe Commerce auf Cloud-Infrastruktur hat WAF-Regeln von Adobe erhalten; der Hotfix bleibt trotzdem Pflicht.
- Da Adobe aktive Ausnutzung meldet, prüfen Sie nach dem Patchen Kundenkonten und Server auf Kompromittierung.
So prüfen Sie Ihren Shop
Reine Lesebefehle. Vergleichen Sie die Version mit der Tabelle; auf Adobe Commerce Cloud muss der Patch als Applied erscheinen.
# Which Magento / Adobe Commerce version is installed? (read-only)
bin/magento --version
composer show magento/product-community-edition magento/product-enterprise-edition 2>/dev/null | grep -E '^(name|versions)'
# Is the Custom Attributes Serializable module installed, and which version?
composer show magento/out-of-process-custom-attributes 2>/dev/null | grep versions
# Adobe Commerce on cloud / with Quality Patches Tool: patch status
vendor/bin/magento-patches -n status | grep -E '32437|Status'Und das PHP darunter
Magento läuft auf PHP, das eigene PHP2Shell-Fehler vom Oktober 2026 hat. Prüfen Sie PHP getrennt auf der Magento-Produktseite und den PHP-Versionsseiten.
Ist SessionReaper eine PHP-Schwachstelle?
Nein. Der Fehler steckt im Code von Adobe Commerce und Magento Open Source. Ein PHP-Update behebt ihn nicht, der Adobe-Hotfix oder ein neueres Commerce-Release schon.
Reicht der Hotfix?
Laut Adobe behebt der Hotfix VULN-32437-2-4-X-patch CVE-2025-54236. Alternativ ein neueres Sicherheitsrelease.
Wird die Lücke ausgenutzt?
Ja. Adobe hat das Bulletin am 22. Oktober 2025 um den Hinweis auf aktive Ausnutzung ergänzt.
Veröffentlicht diese Seite Exploit-Details?
Nein. Hier stehen nur betroffene Versionen, der Fix und Lesebefehle.
Quellen
Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.