CVE-2026-55634 und CVE-2026-55220: Kritische Pimcore-Schwachstellen
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Am 28. August 2026 wurden zwei kritische Schwachstellen in pimcore/pimcore veröffentlicht: CVE-2026-55634 mit einem CVSS-v3.1-Score von 9.9 und CVE-2026-55220 mit einem CVSS-v4.0-Score von 9.3. Die Fehler betreffen unterschiedliche Komponenten und setzen jeweils andere Voraussetzungen für einen Angriff voraus. Die vollständige technische Beschreibung ist im GitHub Advisory von Pimcore dokumentiert.
Ein authentifizierter Nutzer mit der Berechtigung objects konnte einen DataObject-Feldnamen übermitteln, der nicht auf zulässige Bezeichner begrenzt war. Die Eingabe konnte in erzeugte PHP-Properties sowie in SQL-Bezeichner für Schemaänderungen gelangen.
Dadurch war es möglich, PHP-Syntax in erzeugte DataObject-Klassendateien unter var/classes/DataObject/ einzubringen und bei der Instanziierung betroffener Klassen auszuführen. Zusätzlich konnte die Eingabe SQL-Bezeichner in schemaändernden Anweisungen beeinflussen.
Die Korrektur schließt die unzureichende Validierung von Feldnamen in den betroffenen Versionsreihen.
CVE-2026-55220: Unsichere PHP-Deserialisierung bei Hotspotimage
CVE-2026-55220 betrifft Hotspotimage::getDataFromResource. Nach einem fehlgeschlagenen JSON-Decoding konnte die Komponente Daten aus der Spalte __hotspots über Pimcore\Tool\Serialize::unserialize verarbeiten, ohne die zulässigen Klassen einzuschränken.
Ein Angreifer benötigt hierfür eine separate Möglichkeit, präparierte serialisierte PHP-Daten in diese Spalte zu schreiben. Beim Laden eines betroffenen DataObject können verfügbare Klassen instanziiert und Magic Methods ausgelöst werden; über vorhandene Gadget Chains können daraus Dateischreibvorgänge oder Code-Ausführung entstehen.
Die dokumentierte Korrektur betrifft den Aufrufer Hotspotimage. Auch ImageGallery, Block und Video verwenden das beschriebene Fallback-Muster und sollten auf Einschränkungen zulässiger Klassen geprüft werden.
Priorisierte Maßnahmen
Pimcore aktualisieren: Installationen auf 11.5.19, 12.3.10 oder 2026.1.6 aktualisieren.
Betroffenheit prüfen: Den Patchstatus für alle produktiven und nichtproduktiven Pimcore-Instanzen prüfen, einschließlich über Packagist eingebundener Installationen.
Importrechte begrenzen: Den Endpunkt für den Import von Klassendefinitionen auf vertrauenswürdige Nutzer beschränken. Konten mit der Berechtigung objects sind für CVE-2026-55634 besonders relevant.
Deserialisierungsmuster prüfen: Die Aufrufer ImageGallery, Block und Video auf Beschränkungen zulässiger Klassen bei der Deserialisierung prüfen.
Pimcore wird von einem österreichischen Anbieter entwickelt und ist in DACH-Projekten im E-Commerce- und PIM-Umfeld verbreitet. Betreiber, die unter die NIS-2-Richtlinie (in Deutschland) oder das NISG 2026 (in Österreich, vollwirksam ab 1. Oktober 2026) fallen, sollten den Patchstatus dieser Schwachstellen priorisiert prüfen. Sofern ein Vorfall mit Personenbezug eingetreten ist, gilt ggf. die Meldepflicht nach DSGVO Art. 33 (72-Stunden-Frist an die zuständige Datenschutzbehörde).
Extern erreichbare Pimcore-Instanzen zuordnen
Pimcore kann unter Kunden-Domains als öffentlich erreichbare Webanwendung betrieben werden. LocateRisk erfasst extern erreichbare Systeme und macht eingesetzte Software über Fingerprints und Pfadmuster wie /pimcore-studio/api/ sichtbar. Da die externe Erkennung keinen unmittelbaren Rückschluss auf den installierten Versionsstand erlaubt, bleibt die Prüfung der eingesetzten Version für die Behandlung beider Schwachstellen erforderlich. EASM unterstützt bei der Erfassung öffentlich erreichbarer Pimcore-Systeme und bei deren Zuordnung zum Patchprozess.
Im Lieferantenkontext kann C-VRM kritische Schwachstellen bei Anbietern oder Veränderungen ihres Sicherheitsniveaus melden. Damit lassen sich bekannte Abhängigkeiten in die Bewertung einbeziehen.
Bin ich betroffen?
Betroffen ist pimcore/pimcore in den oben genannten Versionen; behoben wurde die Schwachstelle in 11.5.19, 12.3.10, 2026.1.6. Wer wissen will, ob pimcore/pimcore in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
CVE-2026-55634 ist eine kritische Schwachstelle (CVSS v3.1: 9.9) im Import-Endpunkt für Klassendefinitionen von Pimcore. Ein authentifizierter Nutzer mit der Berechtigung objects kann PHP-Syntax in erzeugte DataObject-Klassendateien einschleusen, die beim Instanziieren der Klasse ausgeführt wird.
Die wichtigste Maßnahme ist die Aktualisierung auf 11.5.19, 12.3.10 oder 2026.1.6. Ergänzend sollte der Import-Endpunkt für Klassendefinitionen auf vertrauenswürdige Nutzer beschränkt und der Patchstatus aller Instanzen — einschließlich über Packagist eingebundener — geprüft werden.
Stand: 29.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2024-3094
Passive Bewertung
Hinweise zur CVEHinweise gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français