10,0 von 10,0 Punkten. Höher geht die CVSS-Skala nicht. Genau diese Wertung hat Adobe der Sicherheitslücke CVE-2026-75650 in Magento Open Source und Adobe Commerce gegeben – und sie wird seit dem 4. September aktiv ausgenutzt. Die niederländische Sicherheitsfirma Sansec, die den Angriff entdeckte und auf den Namen StyleSmuggler taufte, meldete die ersten kompromittierten Shops drei Tage bevor es überhaupt einen Patch gab.
Die Lücke erlaubt Remotecodeausführung ohne jede Authentifizierung. Ein Angreifer braucht weder Login noch Zugangsdaten, um beliebigen PHP-Code auf dem Server eines Shops auszuführen. Betroffen sind Magento Open Source und Adobe Commerce in den Versionen 2.4.4 bis 2.4.9 sowie Adobe Commerce B2B 1.3.3 bis 1.5.3. Wer auf diesen Branches unterwegs ist, muss handeln – unabhängig vom Patch-Stand.
Wie funktioniert der StyleSmuggler-Angriff?
Die Angriffskette läuft in zwei Stufen. Zuerst schmuggelt der Angreifer PHP-Code über die styles-Eigenschaften des Magento-Template-Systems ein – ein Pfad, an dem die bisherigen Schutzmechanismen vorbeigreifen. Anschließend bringt er Magento dazu, den vergifteten Code selbst auszuführen: über die Standard-Mail „Payment Transaction Failed Reminder“. Niemand muss diese Mail öffnen. Der Code läuft bereits, während Magento die Nachricht rendert. Ungewöhnlich viele fehlgeschlagene Zahlungs-Mails im Postfach sind deshalb ein ernst zu nehmendes Warnsignal.
Nach erfolgreicher Infektion installiert sich ein in Rust geschriebenes Hintergrundprogramm, das sich als Systemprozess tarnt – als kworker, fc-cache oder zuletzt als chronyd, der legitime Zeitdienst unter Linux. Die Kommunikation mit dem Kontrollserver läuft getarnt als NTP-Verkehr über UDP-Port 123. Wer seine Firewall-Regeln für Zeitdienste großzügig ausgelegt hat, sieht davon nichts. Die Angreifer iterieren schnell: Sansec beobachtete mehrere Payload-Wechsel pro Tag, zwischen dem 6. und 7. September benannte sich das Implantat zweimal selbst um.
Ein zweiter Angreifer nutzt dieselbe Lücke
Die Sache bleibt nicht bei einer Tätergruppe. Sansec analysierte einen 485 Byte kleinen PHP-Dropper, der offensichtlich von einem anderen Akteur stammt und eine Web-Shell im Produktbild-Cache ablegt – unter pub/media/catalog/product/cache/. Die Shell antwortet nur auf Requests mit einem spezifischen HTTP-Header und führt dann beliebigen Code aus. Ein simpler Check lohnt sich: find pub/media -name '*.php' sollte auf einem sauberen System nichts finden.
Was müssen Shopbetreiber jetzt tun?
Adobe hat am 7. September das Advisory APSB26-146 mit Prioritätsstufe 1 – der höchsten – veröffentlicht. Der Fix kommt nicht als Release, sondern als Hotfix: VULN-39341-composer-patches.zip von repo.magento.com, eingespielt als Composer-Patch. Getestet ist er gegen die August-2026-Releases der genannten Versionen; ältere Stände sind ebenfalls verwundbar, dort ist der Patch aber unverifiziert.
Patchen allein reicht nicht. Drei Tage lang existierte kein Fix, während die Angriffe liefen. Adobe empfiehlt deshalb, den Verschlüsselungs-Key zu rotieren – und jede Credential, die er schützt: Admin-Passwörter, Integrations-Tokens, OAuth-Secrets, Payment-Gateway-Keys, Datenbank- und SSH-Zugänge. Und zwar an der Quelle, nicht nur im Magento-Backend. Wer den Key nur dreht, ohne die Zugangsdaten zu wechseln, lässt alles offen, was der Angreifer bereits ausgelesen hat.
Als Sofortschutz blockiert die Security-Extension Sansec Shield nach Angaben des Herstellers alle bisher beobachteten StyleSmuggler-Varianten; das Scan-Tool eComscan 1.9.7 erkennt das Implantat und etwaige Nachfolge-Backdoors. Wer keinen Managed-Security-Dienst laufen hat, sollte den Server manuell prüfen: verdächtige Prozesse namens kworker/u:8:0, fc-cache oder chronyd, unbekannte Cronjobs, PHP-Dateien im Media-Verzeichnis.
Für die Branche ist StyleSmuggler der dritte schwere Magento-Fall binnen kurzer Zeit – nach CosmicSting und SessionReaper. Das Muster ist bekannt: Monate später laufen noch hunderte Shops ungepatcht weiter. Wer diesmal erst nächste Woche patcht, gehört dann vermutlich dazu.