CVSS 10,0: Drei Tage ohne Schutz
Seit dem 4. September läuft eine Angriffswelle auf Magento- und Adobe-Commerce-Shops, und erst drei Tage später, am 7. September um 20:20 Uhr UTC, lieferte Adobe mit dem Security Bulletin APSB26-146 einen Hotfix. Die Sicherheitslücke StyleSmuggler, jetzt als CVE-2026-75650 registriert, erhielt die Höchstwertung CVSS 10,0 und Adobes Prioritätsstufe 1. Entdeckt hat die Kampagne der niederländische Sicherheitsspezialist Sansec, der die Angriffskette auf sauberen Installationen von Magento Open Source 2.4.7, 2.4.8 und 2.4.9 nachstellen konnte.
Betroffen sind Adobe Commerce und Magento Open Source in den Versionen 2.4.4 bis 2.4.9 sowie Adobe Commerce B2B 1.3.3 bis 1.5.3. Wer glaubt, ein aktueller Patchstand schütze, irrt: Das erste bestätigte Opfer lief auf 2.4.6-p15 mit allen Juli- und August-Patches, ein weiterer Angriff traf einen Shop auf 2.4.7-p10. Die Lücke steckt im Template-System selbst, bisherige Sicherheitsmaßnahmen greifen nicht.
Wie funktioniert der StyleSmuggler-Angriff?
StyleSmuggler schmuggelt Schadcode über die styles-Eigenschaften des Template-Systems ein und arbeitet in zwei Stufen: Zunächst wird PHP-Code in einen Failure-Report injiziert, anschließend löst Magento den Code beim Rendern der Standard-Mail „Payment Transaction Failed Reminder“ aus. Niemand muss die Mail öffnen, sie kann sogar im Versand scheitern, der Angriff läuft trotzdem. Häufen sich bei Ihnen seit Anfang September unerklärliche „Zahlung fehlgeschlagen“-Benachrichtigungen, ist das ein Alarmzeichen, keine Routine.
Die Antwort auf die entscheidende Frage ist unbequem: Ja, auch Shops mit Sessions in Redis oder der Datenbank sind angreifbar. Sansec dokumentierte einen Fall, in dem derselbe Angreifer acht Sekunden nach einem gescheiterten Versuch über die Session-Storage-Route über Magentos Custom Options erfolgreich war. Nach erfolgreicher Ausführung installiert sich ein in Rust geschriebenes Hintergrundprogramm, das sich als harmloser Systemprozess tarnt, erst als [kworker/u:8:0], seit dem 6. September als fc-cache, inzwischen auch als chronyd. Die Tarnung ist raffiniert: Die Kommunikation mit dem Command-and-Control-Server läuft als NTP-Verkehr auf UDP-Port 123 und fällt in den meisten Egress-Filtern nicht auf. Mindestens ein zweiter, unabhängiger Angreifer nutzt die Lücke ebenfalls und platziert Web-Shells im Produktbild-Cache unter pub/media.
Was Shopbetreiber jetzt konkret tun müssen
Adobe liefert den Fix nicht als Release, sondern als Composer-Patch: Das Paket VULN-39341-composer-patches.zip liegt auf repo.magento.com bereit, der Erfolg lässt sich über vendor/bin/magento-patches -n status verifizieren. Getestet wurde der Hotfix gegen die August-2026-Releases der genannten Versionszweige; ältere Patch-Level sind ebenfalls verwundbar, dort aber ungetestet.
Danach folgt der unangenehme Teil. Adobe empfiehlt, den Verschlüsselungs-Key zu rotieren, und alles, was dieser Key schützt: Admin-Passwörter, REST-, SOAP- und GraphQL-Tokens, OAuth-Secrets, Payment-Gateway-Zugänge, Datenbank-Credentials, SSH- und Deploy-Keys sowie API-Keys von Dritt-Extensions. Rotieren an der Quelle, nicht nur im Shop-Backend. Wer nur den Key dreht, macht bereits ausgelesene Zugänge nicht wertlos.
Zur forensischen Prüfung sollten Admins auf verdächtige Prozesse (kworker, fc-cache, chronyd), Cron-Einträge außerhalb der eigenen Wartung und PHP-Dateien unter pub/media achten. Sansec bietet mit eComscan einen Scanner, der das Implant und sekundäre Backdoors erkennt; die Shield-Erweiterung blockiert die Angriffe in Echtzeit. Das ersetzt den Adobe-Patch nicht, die Betreiber haben ihre Payloads seit dem 4. September mehrfach täglich gewechselt.
Ein CVSS-10,0-Bug mit aktiver Ausnutzung im Warenkorb-Herzstück des Mittelstands: Wer Magento betreibt und diesen Hotfix aufschiebt, fährt seinen Shop faktisch mit offenem Tresor.
StyleSmuggler ist bereits die dritte schwere Magento-Lücke nach CosmicSting 2024 und SessionReaper 2025, bei denen jeweils Wochen vergingen, bis die Mehrheit der Shops gepatcht war. Diesmal gibt es keine Ausrede: Hotfix, Scan, Key-Rotation, in dieser Reihenfolge, noch heute.