CISA warnt vor kritischer Remote-Code-Execution-Lücke im Magento-Cache-Wärmer, die bereits in Angriffen ausgenutzt wird

Ein nicht authentifizierter Angreifer kann einen bösartigen serialisierten Payload erstellen und über diesen Cookie senden, wodurch auf dem Server eine unsichere Deserialisierung ausgelöst wird.

Dieses Verhalten ermöglicht die Ausführung beliebigen Codes ohne die Notwendigkeit gültiger Anmeldedaten und stellt daher eine besondere Gefahr für internetzugängliche Magento-Stores dar.

Ausnutzung einer Remote-Code-Execution-Schwachstelle im Magento-Cache-Wärmer Das Problem wurde der CWE-502 zugeordnet, die die Deserialisierung ürdigen Daten umfasst – eine bekannte Klasse, die in Webanwendungen häufig missbraucht wird.

Sicherheitslage und Risiko

Bei erfolgreicher Ausnutzung können Angreifer Systembefehle ausführen, Hintertüren installieren oder tiefer in die Hosting-Umgebung eindringen. Aufgrund der weit verbreiteten Nutzung mittelständischen eCommerce-Lösungen ist die Angriffsfläche erheblich. Das CISA hat CVE-2026-45247 am 3.

Juni 2026 in sein Verzeichnis bekannt ausgenutzter Schwachstellen (KEV) aufgenommen und damit eine aktive Ausnutzung bestätigt. Bundesbehörden und Organisationen sind gemäß der verbindlichen operativen Direktive (BOD) 22-01 verpflichtet, das Problem bis zum 6. Juni 2026 zu beheben.

Obwohl derzeit keine öffentlichen Bestätigungen vorliegen, die diese Schwachstelle mit Ransomware-Kampagnen in Verbindung bringen, macht die Natur der Verwundbarkeit sie für Initial-Access-Broker und finanziell motivierte Bedrohungsakteure besonders attraktiv.

Technik und Auswirkungen

Sicherheitsforscher weisen darauf hin, dass Ausnutzungsversuche verdächtige HTTP-Anfragen enthalten können, die ein manipulierter „CacheWarmer"-Cookie mit codierten PHP-Objekt-Payloads aufweisen.

Indikatoren für Kompromittierungen können unerwartete Webserver-Prozesse, unbefugte Datei-Erstellungen innerhalb zu unbekannten IP-Adressen nach der Ausnutzung umfassen. Protokolle können abnormale Cookie-Werte oder wiederholte Anfragen an Endpunkte zur Cache-Erwärmung offenbaren.

Organisationen, die die Mirasvit Full Page Cache Warmer-Erweiterung verwenden, werden dringend aufgefordert, bereitgestellte Patches oder Minderungsmaßnahmen des Herstellers unverzüglich anzuwenden.

Technischer Hintergrund

Falls keine Reparatur verfügbar ist, empfiehlt das CISA, den betroffenen Komponente vollständig zu deaktivieren oder zu entfernen, um die Exposition zu eliminieren. Zusätzliche Schutzmaßnahmen umfassen die Implementierung Blockierung bösartiger serialisierter Eingaben, die Überwachung die Einschränkung des Zugriffs auf sensible Endpunkte.

Dieser Vorfall verdeutlicht das anhaltende Risiko, das unsichere Deserialisierungsfehler in modernen Webanwendungen darstellen.

Da Angreifer die Ausnutzung neu offengelegter Schwachstellen zunehmend automatisieren, bleiben rechtzeitige Patches und proaktives Monitoring entscheidend für den Schutz Drittanbieter-Erweiterungen regelmäßig überprüfen, um sicherzustellen, dass sie sicheren Codierungsstandards entsprechen und keine versteckten Angriffsvektoren in ansonsten gehärtete Systeme einführen.

Abi ist Security-Editorin und Reporterin bei