SessionReaper (CVE-2025-54236): kritische Lücke in Magento 2
SessionReaper ist eine kritische Lücke in der REST-API von Magento 2 und Adobe Commerce. Was sie ermöglicht, welcher Patch sie schließt und was Sie nach einem späten Patch prüfen sollten.
Adobe hat am 9. September 2025 mit dem Bulletin APSB25-88 einen Notfall-Patch für Magento 2 und Adobe Commerce veröffentlicht. Er schließt die Lücke CVE-2025-54236, die Sansec SessionReaper genannt hat. Betroffen sind alle unterstützten Versionen. Die Bewertung liegt bei 9,1 (CVSS 3.1).
Was ist SessionReaper?
Die Ursache ist eine fehlende Prüfung von Eingaben in der REST-API. Ein Angreifer ohne Konto kann darüber fremde Kundenkonten übernehmen. Speichert der Shop seine Sessions als Dateien auf dem Server (die Standardeinstellung), ist unter Umständen auch das Ausführen von Code möglich. Shops mit Sessions in Redis oder der Datenbank sind weniger exponiert, sollten aber trotzdem patchen.
Was Sie tun sollten
- Den Patch aus APSB25-88 einspielen oder auf ein Release aktualisieren, das ihn enthält (ab Oktober 2025 im regulären Update APSB25-94).
- Nach dem Patch eigene Module und Erweiterungen testen: Der Patch schränkt interne Funktionen ein, vereinzelt bricht dadurch Code von Drittanbietern.
- Wer erst spät gepatcht hat: Malware-Scan, und bei Funden Verschlüsselungsschlüssel erneuern, Admin-Passwörter zurücksetzen und unbekannte Integrationen löschen.
Nachtrag Oktober 2025
Ab dem 22. Oktober 2025 beobachtete Sansec Massenangriffe. Adobe hat daraufhin die Ausnutzung bestätigt und die Priorität des Patches auf die höchste Stufe gesetzt. Laut Sansec war zu diesem Zeitpunkt nur gut ein Drittel der Shops gepatcht.
Ich spiele den Patch in den von mir betreuten Shops ein und helfe auch kurzfristig bei anderen Shops. Schreiben Sie mir oder an kontakt@maxanoo.com.
Quellen: Adobe APSB25-88 · Sansec: SessionReaper. Stand: September 2025, Nachtrag Oktober 2025.