CVSS 10,0 – die höchstmögliche Bewertung auf der Skala. Diese Note hat Adobe der Sicherheitslücke verliehen, die seit dem 4. September aktiv gegen Magento- und Adobe-Commerce-Shops gefahren wird. Getauft auf den Namen „Style Smuggler“ hat das Sicherheitsunternehmen Sansec die Kampagne entdeckt; Günter Born griff den Fall in seinem Blog BornCity auf. Betroffen sind Magento Open Source und Adobe Commerce in den Versionen 2.4.4 bis 2.4.9 sowie Adobe Commerce B2B 1.3.3 bis 1.5.3 – also praktisch jeder Shop, der in den vergangenen Jahren auf diesen Systemen aufgesetzt wurde.
Drei Tage lang existierte kein Patch, während die Angriffe liefen. Erst am Abend des 7. September veröffentlichte Adobe das Security Bulletin APSB26-146 samt Hotfix. Für Shopbetreiber heißt das: Wer zwischen dem 4. und 7. September online war, muss von einem möglichen Kompromittierungsversuch ausgehen.
Wie funktioniert der Style-Smuggler-Angriff auf Magento?
Die Antwort ist ungewöhnlich: Der Angriff versteckt sich in Magentos eigenem Template-System. Über die „styles“-Eigenschaft schleusen die Angreifer PHP-Code ein, der die vorhandenen Schutzmechanismen umgeht – daher der Name. Die Ausführung erfolgt in zwei Stufen. Zunächst wird der Schadcode im System abgelegt, etwa über einen generierten Fehlerreport. Anschließend provozieren die Angreifer gezielt die Standard-Mail „Payment Transaction Failed Reminder“, die Magento bei fehlgeschlagenen Zahlungen verschickt. Beim Rendern dieser E-Mail führt Magento den präparierten Code aus – ohne dass irgendjemand die Nachricht öffnen muss. Der Angriff funktioniert sogar, wenn der Mailversand scheitert.
Unangenehm dabei: Aktuelle Patch-Stände schützen nicht. Sansec reproduzierte die vollständige Angriffskette ohne Authentifizierung auf frischen Installationen der Versionen 2.4.7, 2.4.8 und 2.4.9. Das erste entdeckte Opfer lief auf 2.4.6-p15 – mit allen Juli- und August-Patches eingespielt.
Was installieren die Angreifer im Shop?
Bei Erfolg startet ein Hintergrundprozess, der sich als legitimer Systemdienst tarnt – etwa als „kworker“, „fc-cache“ oder „chronyd“, letzteres der echte Name des Zeitabgleich-Daemons unter Linux. Der Schädling, ein kompaktes Rust-Programm, meldet sich minütlich bei seinem Kommandoserver und tarnt diesen Verkehr als NTP-Zeitsynchronisation auf UDP-Port 123. Wer Egress-Filter betreibt und dort den Zeitdienst freigibt, blendet die Malware praktisch selbst aus.
Seit dem 7. September ist zudem ein zweiter, unabhängiger Akteur über dieselbe Lücke eingestiegen. Dieser platziert eine Webshell im Produktbild-Cache unter pub/media – PHP-Dateien haben in diesem Verzeichnis nichts zu suchen und sind ein klares Warnsignal. Unterm Strich: Mindestens zwei Gruppen melken die Schwachstelle parallel.
Welche Schritte müssen Shopbetreiber jetzt einleiten?
Adobe liefert den Fix nicht als vollständiges Release, sondern als Hotfix mit der Kennung VULN-39341, der als Composer-Patch eingespielt wird. Getestet hat Adobe ihn gegen die August-2026-Releases der genannten Versionen; ältere Stände in denselben Zweigen sind ebenfalls verwundbar, dort aber ohne offizielle Verifikation. Danach folgen drei Pflichtschritte:
- Verschlüsselungsschlüssel rotieren – und zwar an der Quelle, nicht nur in Magento. Der Austausch des Schlüssels allein macht bereits erbeutete Daten nicht ungeschehen.
- Zugangsdaten erneuern: Admin-Passwörter, Integrations-Tokens für REST, SOAP und GraphQL, OAuth-Secrets, API-Zugänge der Payment-Gateways, Datenbank-Zugänge sowie SSH- und Deploy-Keys.
- Kompromittierung prüfen: Nach verdächtigen Hintergrundprozessen und PHP-Dateien im Media-Verzeichnis suchen. Sansec bietet mit eComscan einen Scanner, der das Implantat und sekundäre Hintertüren aufspürt; die Schutzkomponente Sansec Shield blockt die beobachteten Angriffsvarianten in Echtzeit.
Als Faustregel für die Früherkennung gilt: Unerwartete Häufungen der Mail „Payment Transaction Failed Reminder“ sind ein Grund zur Nachschau – auch wenn legitime Zahlungsabbrüche dieselben Benachrichtigungen auslösen.
Die Episode zeigt ein Muster, das Magento-Händler schon von CosmicSting und SessionReaper kennen: Die Zeit zwischen erster Ausnutzung und verfügbarem Patch sind die gefährlichsten Tage im Jahr. Wer seinen Shop noch nicht geprüft hat, sollte das nicht auf nächste Woche schieben – die Angreifer wechseln ihre Payloads nach Sansecs Beobachtung mehrfach täglich, und die Lücke ist jetzt öffentlich dokumentiert.