70 Stunden. So lange hatten Angreifer Zeit, Adobe-Commerce- und Magento-Shops über die Zero-Day-Lücke CVE-2026-75650 zu knacken, bevor Adobe am 7. September 2026 den Hotfix APSB26-146 veröffentlichte. Das niederländische Security-Unternehmen Sansec hatte die Angriffe bereits am 4. September in freier Wildbahn beobachtet – und getauft ist die Lücke inzwischen auf den Namen StyleSmuggler.
Die Bewertung ist maximal kritisch: CVSS 10,0, die höchste Stufe. Betroffen sind Adobe Commerce in den Versionen 2.4.4 bis 2.4.9, Adobe Commerce B2B in den Branches 1.3.3 bis 1.5.3 sowie Magento Open Source 2.4.6 bis 2.4.9. Wer einen dieser Shops betreibt, sollte nicht erst lesen, sondern handeln.
Was macht StyleSmuggler so gefährlich?
StyleSmuggler ist eine unauthentifizierte Remote-Code-Execution-Lücke: Angreifer brauchen weder Zugangsdaten noch Kundenkonto, um beliebigen Code auf dem Server auszuführen. Der Angriff schleust Schadcode in das Template-System von Magento ein, der dann beim Rendern ausgeführt wird – für Shopbetreiber praktisch unsichtbar.
Sansec hat die Payloads analysiert: Die Angreifer installieren eine in Rust geschriebene Backdoor, die sich als harmloser Systemprozess tarnt – etwa als kworker, fc-cache oder chronyd. Zusätzlich wurden PHP-Webshells abgelegt. Wer so eine Hintertür im Shop hat, verliert nicht nur Kundendaten. Er verliert die Kontrolle über den Server.
Warum reicht der Patch allein nicht?
Genau hier setzt die aktuelle Warnung von eSecurity Planet an. Das Einspielen des Hotfixes VULN-39341 ist Pflicht, aber keine Kür. Drei Tage aktive Ausnutzung bedeuten: Tausende Shops können bereits infiziert sein, ohne dass die Betreiber es merken. Die Backdoor verbindet sich mit einem Command-and-Control-Server und wartet auf Befehle – still, geduldig, schwer erkennbar.
Adobe hat den Patch bewusst als Hotfix ausgeliefert, nicht als vollständiges Release. Er lässt sich als Composer-Patch aus dem Repository repo.magento.com einspielen; für Adobe Commerce on Cloud steht er über das Quality Patches Tool bereit. Die Installation lässt sich per Kommandozeile verifizieren. Doch danach beginnt die eigentliche Arbeit.
Konkret heißt das für Shopbetreiber und Agenturen: Crontabs und Hintergrundprozesse auf verdächtige Einträge prüfen, die Verzeichnisse var/report/ und temporäre Pfade nach den von Sansec dokumentierten Indicators of Compromise durchsuchen, Zugangsdaten und API-Keys rotieren. Erste Opfer liefen übrigens auf dem aktuellsten Sicherheitsstand – schnelles Patchen schützt vor bekannten Lücken, nicht vor Zero-Days.
Wie groß ist das Risiko für deutsche Händler?
Magento Open Source und Adobe Commerce sind im deutschen Mittelstand und im Enterprise-Segment stark verbreitet, von B2B-Ersatzteilhändlern bis zu Markenherstellern mit Direktvertrieb. Gerade B2B-Shops sind attraktive Ziele: hohe Warenkörbe, hinterlegte Zahlungsdaten, oft Firmenkunden mit Rahmenverträgen. Ein übernommener Shop bedeutet hier nicht nur Umsatzverlust, sondern ein DSGVO-Problem mit Meldepflicht binnen 72 Stunden.
Die Chronologie erinnert an CosmicSting aus dem Jahr 2024 und an SessionReaper von 2025 – beide Male folgten auf die Entdeckung massenhafte Kompromittierungen, weil Betreiber zu spät reagierten. Sansec bietet neben den technischen Indikators auch einen Scanner an, der kompromittierte Instanzen erkennt; unabhängige Hardening-Patches von Community-Entwicklern kursieren ebenfalls, ersetzen aber den Adobe-Hotfix nicht.
Wer Adobe Commerce oder Magento betreibt, hat diese Woche genau zwei Aufgaben: patchen und forensisch prüfen. In dieser Reihenfolge, aber beides. Der dritte Schritt – ein ehrlicher Blick darauf, ob das eigene Monitoring eine still laufende Backdoor überhaupt bemerkt hätte – dürfte in mancher IT-Abteilung unangenehmer ausfallen als der Patch selbst.