Drei Tage lang konnten Angreifer Magento-Shops kapern, ohne dass ein Patch existierte. Am 4. September 2026 begann laut Sicherheitsdienstleister Sansec eine Angriffswelle auf Magento Open Source und Adobe Commerce; Adobes Hotfix folgte erst am 7. September. Die Magento-Angriffswelle nutzt eine bis dahin unbekannte Schwachstelle aus – getauft auf den Namen StyleSmuggler, offiziell CVE-2026-75650, bewertet mit dem Maximalwert CVSS 10.0. Auch der Händlerbund warnt derzeit vor akuter Gefahr für Online-Shops.
Der Befund ist ernst: Wer einen Magento- oder Adobe-Commerce-Shop betreibt, kann sich nicht auf den installierten Patchstand verlassen. Sansec reproduzierte die Angriffskette auf sauberen Installationen der Versionen 2.4.7, 2.4.8 und 2.4.9. Das erste Opfer lief mit 2.4.6-p15 inklusive aller Juli- und August-Updates – und wurde trotzdem kompromittiert. Betroffen sind Adobe Commerce und Magento Open Source 2.4.4 bis 2.4.9 sowie Adobe Commerce B2B 1.3.3 bis 1.5.3.
Wie funktioniert der StyleSmuggler-Angriff?
StyleSmuggler schleust Schadcode über die styles-Eigenschaften in Magentos Template-System ein und umgeht damit vorhandene Schutzmechanismen. Der Angriff läuft in zwei Stufen: Zuerst wird PHP-Code eingeschleust, etwa über einen erzeugten Fehlerreport. Anschließend bringt eine gezielt ausgelöste „Payment Transaction Failed“-E-Mail Magento dazu, den vergifteten Code beim Rendern der Nachricht auszuführen. Niemand muss diese Mail öffnen – der Schadcode läuft, während das System sie erzeugt. Ein ungewöhnlicher Anstieg fehlgeschlagener Zahlungsbenachrichtigungen ist damit ein echtes Warnsignal.
Nach erfolgreichem Angriff installiert sich eine Hintertür als getarnter Hintergrundprozess. Die Angreifer arbeiten schnell: Zwischen dem 4. und 7. September benannte sich der Schädling mehrfach um – von „kworker“ über „fc-cache“ bis „chronyd“, allesamt Namen, die harmlose Systemprozesse imitieren. Die Kommunikation mit dem Kontrollserver tarnt sich als NTP-Zeitsynchronisierung und passiert so die meisten Firewall-Regeln unbemerkt. Hinzu kommt: Sansec beobachtete mindestens einen zweiten, unabhängigen Angreifer, der über dieselbe Lücke eine PHP-Webshell im Produktbild-Cache ablegte.
Was müssen Shopbetreiber jetzt tun?
Adobe stuft das Security Bulletin APSB26-146 mit Priorität 1 ein, der höchsten Stufe. Der Hotfix VULN-39341 wird als Composer-Patch über repo.magento.com verteilt und ist gegen die August-2026-Releases der genannten Versionen getestet. Wer ältere Stände der 2.4er-Zweige fährt, bleibt angreifbar – dort ist der Patch nicht verifiziert.
Adobe empfiehlt zusätzlich, den Verschlüsselungsschlüssel zu wechseln und sämtliche damit geschützten Zugangsdaten zu rotieren: Admin-Passwörter, API-Tokens für REST, SOAP und GraphQL, OAuth-Secrets, Zahlungsanbieter-Zugänge, Datenbank- und SSH-Keys. Wichtig ist die Reihenfolge: Erst scannen, dann patchen, dann rotieren – wer nur schließt, ohne zu prüfen, lässt eine möglicherweise vorhandene Hintertür im System.
„Drei Tage lang war jedes ungeschützte Magento-System offenes Terrain. Wer jetzt nicht scannt, patchet und Zugangsdaten wechselt, verlässt sich auf Glück.“
Für die Prüfung auf eine bereits erfolgte Infektion bietet sich das Scanner-Tool eComscan an; die Echtzeit-Abschirmung Sansec Shield blockiert nach Angaben des Herstellers alle bisher bekannten StyleSmuggler-Varianten. Beides ersetzt den Adobe-Hotfix nicht, schließt aber die Lücke zwischen Angriff und Patch-Rollout. Auch vergessene Nebensysteme gehören auf die Prüfliste: Staging-Umgebungen, Kampagnen-Shops und alte Subdomains laufen häufig auf veralteten Ständen und dienen Angreifern als Einfallstor.
Die nächsten Wochen zeigen, wie viele Händler die Warnung ernst nehmen. Nach der CosmicSting-Welle 2024 blieben monatelang tausende Shops ungepatcht – ein Muster, das sich wiederholen dürfte, wenn Betreiber den Hotfix auf die lange Bank schieben. Wer Magento oder Adobe Commerce betreibt, hat diese Woche einen festen Termin: Patchfenster, Scan, Passwort-Rotation. In dieser Reihenfolge.