50 Minuten. So lange dauerte es nach dem ersten bestätigten StyleSmuggler-Angriff weltweit, bis der niederländische Hoster Disrex einen vollständig gepatchten Magento-Server in seiner Verwaltung als kompromittiert meldete. Der Angreifer brauchte weder Konto noch Zugangsdaten. Seit dem 4. September 2026 läuft die Ausnutzung der Zero-Day-Lücke aktiv – einen offiziellen Fix von Adobe gibt es bis heute nicht.
Entdeckt hat die Schwachstelle das Forensik-Team der niederländischen Sicherheitsfirma Sansec, das sein Advisory am 5. September veröffentlichte. Betroffen sind Magento Open Source und Adobe Commerce in allen derzeit unterstützten Versionen, einschließlich 2.4.7, 2.4.8 und 2.4.9. Sansec reproduzierte die komplette Angriffskette auf allen drei Releases. Das erste bestätigte Opfer lief auf Version 2.4.6-p15 – mit den Sicherheitspatches von Juli und August bereits installiert. Patchen allein schützt hier also nicht.
Wie funktioniert der StyleSmuggler-Angriff auf Magento-Shops?
Die Antwort in einem Satz: Über einen manipulierten styles-Parameter in der GraphQL-Schnittstelle schleusen Angreifer PHP-Code in eine von Magento erzeugte Log-Datei ein, die anschließend über eine transaktionale E-Mail – etwa eine Benachrichtigung zu einer fehlgeschlagenen Zahlung – vom Dependency-Injection-Scanner der Plattform eingelesen und ausgeführt wird. Der Angriff benötigt keine Authentifizierung, keine Session, keine Nutzerinteraktion. Alles, was über HTTP erreichbar ist, bildet die Angriffsfläche.
Der Schadcode läuft im Kontext des Webserver-Accounts, typischerweise www-data oder nginx. Damit öffnet sich der komplette Shop: Kundendaten, Bestellungen, Zahlungsinformationen. Laut Sansec installieren die Angreifer persistente Hintertüren, ein einmaliges Bereinigen reicht nicht.
Adobe schweigt – und der Kalender drückt
Drei Tage nach der Veröffentlichung hat Adobe weder eine CVE-Nummer vergeben noch einen Patch oder einen offiziellen Workaround bereitgestellt. Das letzte Security Bulletin für Commerce stammt vom 11. August (APSB26-92). Der nächste reguläre Termin ist der 8. September – ob der StyleSmuggler-Fix darin enthalten ist, hat Adobe nicht bestätigt. Fällt der Patch aus, stehen Händler womöglich bis Oktober ohne Hersteller-Lösung da.
Diese Informationslage ist für einen Enterprise-Anbieter, dessen Plattform nach Branchenschätzungen weltweit einen zweistelligen Milliardenumsatz an Warenverkehr abwickelt, ein Armutszeugnis. Sansec dokumentiert derweil laufend neue Angriffsversuche.
Was Shopbetreiber jetzt konkret tun sollten
Warten ist keine Strategie. Die wichtigsten Sofortmaßnahmen, zusammengestellt aus den Empfehlungen von Sansec und Disrex:
- GraphQL temporär deaktivieren, sofern der Shop die Schnittstelle nicht produktiv nutzt und kein spezifischer Schutz besteht.
- Den Shop auf Kompromittierung scannen, etwa mit Sansecs eComscan, und die im Advisory genannten Indicators of Compromise prüfen.
- Bei jedem Verdachtsfall sämtliche Magento-Credentials rotieren – Admin-Accounts, API-Keys, Datenbankzugänge.
- Server-Logs auf verdächtige GraphQL-Requests mit
styles-Parametern und ungewöhnliche Einträge in generierten Log-Dateien untersuchen.
Disrex hat zudem Notfall-Mitigations-Patches veröffentlicht, die die bekannte Angriffskette blockieren. Wichtig: Diese Patches entfernen keine bestehende Infektion. Erst scannen, dann absichern – umgekehrt verpufft die Wirkung. Wer einen Dienstleister für den Shop-Betrieb hat, sollte heute, nicht nächste Woche, nachfragen, ob und wann die Gegenmaßnahmen greifen.
Für den 8. September gilt: Das Adobe-Bulletin hat oberste Priorität im Patch-Plan. Dass ein Angreifer eine fehlgeschlagene Zahlungsmail als Zünder für Schadcode missbrauchen kann, zeigt, wie tief die Eingriffspunkte moderner Shop-Architekturen reichen. Magento-Betreiber, die Security-Patching seit Monaten aufschieben, zahlen dieses Mal nicht irgendwann – sondern jetzt.