Gerelateerde kwetsbaarheid · Adobe Commerce / Magento · APSB25-88
Magento SessionReaper (CVE-2025-54236): is mijn winkel getroffen en hoe patch ik?
CVE-2025-54236 is een onjuiste invoervalidatie in Adobe Commerce en Magento Open Source, kritiek met CVSS 9.1. Adobe meldt actief misbruik. Het is geen PHP-runtimefout; een PHP-update lost het niet op.
Laatst bijgewerkt
Wat het is
- Adobes bulletin APSB25-88 (9 september 2025) beschrijft een kritieke onjuiste invoervalidatie (CWE-20) die leidt tot het omzeilen van een beveiligingsfunctie; CVSS 3.1 9.1, zonder authenticatie of beheerrechten.
- Volgens Adobes supportartikel kan een aanvaller via de Commerce REST API klantaccounts overnemen.
- Sansec, dat de fout SessionReaper noemde, meldt dat die in sommige configuraties kan leiden tot remote code execution zonder inloggen. Dat is Sansecs bevinding, geen onderdeel van het Adobe-bulletin.
- Op 22 oktober 2025 voegde Adobe toe dat misbruik bekend is en op 24 oktober 2025 verhoogde het de prioriteit naar 1.
Getroffen versies
| Product | Getroffen (en ouder) |
|---|---|
| Adobe Commerce | 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 |
| Adobe Commerce B2B | 1.5.3-alpha2, 1.5.2-p2, 1.4.2-p7, 1.3.4-p14, 1.3.3-p15 |
| Magento Open Source | 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14 |
| Custom Attributes Serializable (magento/out-of-process-custom-attributes) | 0.1.0 – 0.4.0 |
Zo los je het op
- Installeer Adobes losse hotfix
VULN-32437-2-4-X-patch(via repo.magento.com) volgens Adobes instructies voor composer-patches, of upgrade naar een nieuwere beveiligingsrelease van je lijn. - Is
magento/out-of-process-custom-attributesgeïnstalleerd, werk het dan bij zoals Adobe aangeeft (composer require magento/out-of-process-custom-attributes=0.4.0 --with-dependencies) en installeer daarna de hotfix. - Adobe Commerce op cloudinfrastructuur kreeg WAF-regels van Adobe, maar de hotfix blijft verplicht.
- Omdat Adobe actief misbruik meldt: controleer na het patchen klantaccounts en server op sporen van compromittering.
Je winkel controleren
Alleen-lezen commando’s. Vergelijk de versie met de tabel; op Adobe Commerce cloud moet de patch als Applied staan.
# Which Magento / Adobe Commerce version is installed? (read-only)
bin/magento --version
composer show magento/product-community-edition magento/product-enterprise-edition 2>/dev/null | grep -E '^(name|versions)'
# Is the Custom Attributes Serializable module installed, and which version?
composer show magento/out-of-process-custom-attributes 2>/dev/null | grep versions
# Adobe Commerce on cloud / with Quality Patches Tool: patch status
vendor/bin/magento-patches -n status | grep -E '32437|Status'En de PHP eronder
Magento draait op PHP, dat eigen PHP2Shell-fouten van oktober 2026 heeft. Controleer PHP apart op de Magento-productpagina en de PHP-versiepagina’s.
Is SessionReaper een PHP-kwetsbaarheid?
Nee. De fout zit in de code van Adobe Commerce en Magento Open Source. Een PHP-update lost hem niet op; de Adobe-hotfix of een nieuwere Commerce-release wel.
Is de hotfix genoeg?
Volgens Adobe verhelpt de hotfix VULN-32437-2-4-X-patch CVE-2025-54236. Een nieuwere beveiligingsrelease is het alternatief.
Wordt het misbruikt?
Ja. Adobe heeft het bulletin op 22 oktober 2025 aangevuld met de melding van actief misbruik.
Publiceert deze site exploitdetails?
Nee. Alleen getroffen versies, de fix en alleen-lezen controles.
Bronnen
Externe links verlaten deze site. Wij hosten geen exploitcode.