Adobe hat eine kritische Sicherheitslücke in Adobe Commerce, Adobe Commerce B2B und Magento Open Source veröffentlicht. CVE-2026-75650 erlaubt einem unauthentifizierten Angreifer, beliebigen Code auf dem Shop-Server auszuführen. Adobe bestätigt: Die Lücke wird bereits aktiv ausgenutzt. Das FBI-CISA-Verzeichnis KEV hat den Fall aufgenommen.
Was genau passiert?
Die Lücke (CWE-1336, Template Injection) sitzt in der Template-Engine von Magento. Hacker schleusen PHP-Code über Eigenschaft namens „styles“ ein und lassen ihn ausgeführt. Das passiert in zwei Zuerst wird der Code über einen Fehlerbericht eingeschleust. Anschließend löst eine fehlgeschlagene Bestell-E-Mail dessen Ausführung aus. Das Vorgehen trägt den Namen StyleSmuggler. Das Sicherheitsforscherteam Sansec dokumentierte Angriffe ab dem 4. September 2026. Adobe folgte am 7. September mit dem Notpatch APSB26-146 (VULN-39341) auf höchster Stufe. Sansec bestätigte die komplette Angriffskette ohne Anmeldung auf frischen Magento Open Source 2.4.7, 2.4.8 und 2.4.9. Der erste kompromittierte Shop lief mit 2.4.6-p15, den Juli- und August-Patches und sauberem Patch-Status. Das heißt: Der aktuelle Patchschutz nutzt nichts.
Welche Versionen sind betroffen und wie schlimm ist das?
Betroffen sind Adobe Commerce 2.4.4 bis 2.4.9, inklusive der monatlichen Releases (2026-aug, 2026-jul) und aller Alpha- und Beta-Varianten. Adobe Commerce B2B ist in den Versionen 1.3.3 bis 1.5.3 betroffen, Magento Open Source von 2.4.6 bis 2.4.9. Ein CVSS-Score von 10.0 entspricht der Höchststufe: kein Login erforderlich, kein Klick des Opfers, komplette Systemübernahme inklusive Kunden- und Zahlungsdaten. Betreiber der Unsupported-Zweige 2.2, 2.3 oder 2.4.0 bis 2.4.3 erhalten keinen Adobe-Patch. Scandiweb hat eine Rückportierung für 41 ältere Versionen veröffentlicht, die aber ungeprüft bleibt.
Wie schützt sich mein Shop jetzt?
Der Notpatch wird nicht als klassisches Update ausgeliefert, sondern als Composer-Patch. Betreiber laden das Paket VULN-39341 von repo.magento.com herunter und wenden es anschließend über die Befehlszeile an. Die Kontrolle des Status erfolgt über die Quality Patches Tool mit dem Aufruf vendor/bin/magento-patches -n status. Zeile 39341 muss dort als „Applied“ erscheinen. Adobe Commerce on Cloud kann den Hotfix automatisch einspielen. Danach folgt der eigentlich kritische Teil, die Rotation. Adobe listet konkreten Schritt für Schritt den Ablauf: Wartungsmodus aktivieren, Cron-Jobs pausieren, Verschlüsselungsschlüssel rotieren, Admin-Passwörter zurücksetzen, REST-, SOAP- und GraphQL-Tokens neu erzeugen, OAuth-Sekrets aktualisieren, Zahlungsanbieter-Zugänge bei Stripe, Adyen, PayPal oder Braintree auf Anbieterseite rotieren. Danach Cache leeren, Cron neu starten, Wartungsmodus beenden. Cloud-Kunden müssen zusätzlich ein Redeploy auslösen. Wer patcht, ohne zu rotieren, schließt die Lücke für bestehende Backdoors nicht.
Sansec beobachtete am 7. September einen fehlgeschlagenen Angriff, der acht Sekunden später über eine Datei-Hochladefunktion erfolgreich wurde. Die aktuelle Patchverteidigung bietet keinen Schutz mehr.
Wer erst jetzt reagiert, sollte auch die Logs der letzten Wochen prüfen, insbesondere Fehlerberichte und Bestell-E-Mails. Adobe empfiehlt, Händler mit sensiblem Datenbestand eine forensische Analyse in Betracht zu ziehen. Als Ergänzung eignen sich WAF-Regeln für die bekannten StyleSmuggler-Indikatoren; Sansec und magento.watch aktualisieren deren Signaturdaten kontinuierlich.