Ohne Login Schadcode auf dem Shop-Server ausführen: Das erlaubt eine 0-Day-Schwachstelle, die Sicherheitsforscher des niederländischen Malware-Scanners Sansec entdeckt haben. Der Angriff trägt den Namen „StyleSmuggler“ und betrifft Magento Open Source sowie Adobe Commerce – nach aktuellem Stand alle Versionen, einschließlich der aktuellen 2.4.9 und vollständig gepatchter Installationen. Bestätigt sind Angriffe auf die Versionen 2.4.7, 2.4.8 und 2.4.9. Seit dem 4. September 2026 wird die Lücke aktiv ausgenutzt.
StyleSmuggler schleust bösartigen Code über die „styles“-Eigenschaften des Magento-Template-Systems ein und umgeht damit bestehende Schutzmechanismen. Der Angriff läuft in zwei Schritten: Zunächst wird manipulierter PHP-Code auf dem Server platziert, etwa über die Generierung eines Fehlerberichts. Anschließend bringen die Angreifer Magento dazu, diesen Code auszuführen – beispielsweise über eine E-Mail zu einer fehlgeschlagenen Zahlung. Es handelt sich um eine Remote-Code-Execution ohne Authentifizierung, also die schwerste Kategorie von Schwachstellen, die ein Shopsystem haben kann.
Welche Shops sind konkret gefährdet?
Die Antwort: faktisch alle Magento-2- und Adobe-Commerce-Installationen, die aus dem Internet erreichbar sind. Sansec hat die Angriffe auf den Versionen 2.4.7 bis 2.4.9 bestätigt, der Magento-Hoster Maxcluster geht davon aus, dass grundsätzlich alle Magento-2-Versionen betroffen sind. Einen Patch von Adobe gibt es bislang nicht – es ist also ein echter 0-Day, keine auszuhaltende Versionslücke.
Die Angreifer nutzen unter anderem die Route /paypal/transparent/response/ sowie Anfragen an /graphql mit einem spezifischen Angriffsmuster. Shops mit PayPal-Zahlungsintegration und aktiviertem GraphQL-Endpoint stehen damit besonders im Fokus. Wer über eine erfolgreiche Kompromittierung hinausgehende Schäden einschätzen will: Auf Shop-Servern liegen Kundendaten, Zahlungs-Token und Zugänge zu Warenwirtschaft und Versanddienstleistern. Eine RCE auf dem Webserver ist der direkte Einstieg in den kompletten Shop-Stack.
Was müssen Shopbetreiber jetzt tun?
Sansec empfiehlt zwei Sofortmaßnahmen: Erstens einen Scan der Instanz auf Kompromittierung. Wer keinen Malware-Scanner im Einsatz hat, sollte zumindest die laufenden Prozesse, die Crontab-Einträge und die Dateisystem-Änderungen der vergangenen Tage prüfen. Zweitens das Härten der Instanz, insbesondere durch Deaktivierung von GraphQL, sofern der Shop das nicht produktiv braucht.
Der Hoster Maxcluster zeigt, wie ein Dienstleister reagieren kann: Zwei Angreifer-IP-Adressen und eine Domain wurden auf allen Clustern gesperrt, die ausgenutzte PayPal-Route und das GraphQL-Angriffsmuster werden auf PHP-Ebene blockiert, und die Endpoint-Security wurde um die Erkennung dieses Angriffs erweitert. Bei betreuten Installationen fand Maxcluster bislang keine Anzeichen einer Kompromittierung.
- GraphQL deaktivieren oder einschränken, wenn nicht zwingend benötigt
- Route /paypal/transparent/response/ auf Server- oder WAF-Ebene blockieren
- Prozesse, Crontab und Dateisystem auf unbekannte Änderungen prüfen
- Beim Hoster nachfragen, ob Schutzmaßnahmen bereits aktiv sind
Für Betreiber ohne eigenes Server-Team gilt: Wer bei einem spezialisierten Magento-Hoster ist, hat hier einen Vorsprung. Wer Magento auf einem generischen VPS oder selbst betreibt, muss die Gegenmaßnahmen selbst umsetzen – oder jetzt genau diese Kompetenz einkaufen.
Kein Patch, keine Entwarnung
Adobe hat zum Redaktionsschluss keinen Sicherheitspatch veröffentlicht. Die nächsten regulären Commerce-Updates folgen einem festen Rhythmus, ein Hotfix wäre angesichts der aktiven Ausnutzung denkbar. Wer eine kompromittierte Instanz findet, sollte diese nicht einfach bereinigen, sondern forensisch sichern: Der erste Angriffszeitpunkt entscheidet über die Meldepflichten nach DSGVO, wenn Kundendaten abgeflossen sind.
Der Vorfall reiht sich in eine beunruhigende Serie ein. Nach den TrojanOrder-Angriffen und den wiederholten Template-Injection-Lücken der vergangenen Jahre ist das Magento-Template-System offenkundig ein dauerhaft lohnendes Angriffsziel. Für Händler, die ohnehin über eine Migration nachdenken, liefert StyleSmuggler keinen neuen Grund – aber einen weiteren Datenpunkt, wie teuer der Betrieb eines selbst verwalteten Shopsystems im Jahr 2026 wirklich ist. Wer bleibt, braucht WAF, Malware-Monitoring und einen Hoster, der am Wochenende erreichbar ist.