maxanoo
Menü

PolyShell: Datei-Upload-Lücke in Magento 2 wird massenhaft ausgenutzt

Über PolyShell können Angreifer ohne Anmeldung Dateien in Magento-Shops hochladen. Was betroffen ist, wie Sie Ihren Shop prüfen und welche Updates die Lücke schließen.

Veröffentlicht Aktualisiert 2 Min. Lesezeit von Allgemein Magento
Datei mit GIF-Kopf und PHP-Code: Magento-Lücke PolyShell

Am 17. März 2026 hat Sansec eine Lücke in Magento 2 und Adobe Commerce öffentlich gemacht, die es inzwischen unter der Kennung CVE-2026-48356 gibt und die Sansec PolyShell nennt. Seit dem 19. März wird sie aktiv ausgenutzt.

Was ist PolyShell?

Über zwei Gast-Warenkorb-Endpunkte der REST-API lassen sich ohne Anmeldung Dateien hochladen. Die Angreifer nutzen dafür Dateien, die gleichzeitig als Bild und als PHP-Skript gültig sind (daher „Poly“). Ob daraus ausführbarer Code auf dem Server wird, hängt von der Webserver-Konfiguration ab. In jedem Fall landen fremde Dateien im Verzeichnis pub/media/custom_options/. Die GraphQL-Schnittstelle ist nicht betroffen.

Betroffen sind alle Versionen bis einschließlich 2.4.9-alpha2. Zum Zeitpunkt der Veröffentlichung gab es für die produktiven Versionen keinen Patch.

So prüfen Sie Ihren Shop

  1. Hochgeladene Dateien auflisten: find pub/media/custom_options/ -type f ! -name '.htaccess'. Dateien mit der Endung .php, .phtml oder .phar sind ein deutliches Zeichen für einen Angriff.
  2. Nach der bekannten Hintertür suchen: find /var/www -name 'accesson.php' -type f
  3. CMS-Seiten und -Blöcke auf fremde Skripte prüfen.

Was schützt

  • Den Web-Zugriff auf pub/media/custom_options/ sperren. Bei nginx muss die Sperre vor jeder Regel für .php-Dateien stehen, bei Apache muss die .htaccess im Verzeichnis PHP abschalten.
  • Eine Web Application Firewall, die die betroffenen API-Aufrufe blockiert. Die Sperre des Verzeichnisses allein verhindert den Upload nicht.
  • Das Update, sobald es verfügbar ist (siehe unten), und danach erneut scannen: Bereits hochgeladene Dateien bleiben auch nach dem Patch liegen.

Nachtrag: Updates

Adobe hat die Lücke am 12. Mai 2026 mit Magento 2.4.9 geschlossen und den Fix am 14. Juli 2026 mit dem Bulletin APSB26-73 auch für die älteren unterstützten Versionslinien nachgeliefert. Laut Sansec waren bis Mitte April bei rund 82 % der von ihnen beobachteten Shops Upload-Versuche zu sehen.

Ich prüfe Shops auf Spuren von PolyShell und richte die Schutzmaßnahmen ein. Schreiben Sie mir.

Quelle: Sansec: PolyShell. Stand: März 2026, Nachtrag Juli 2026.