Vier Tage lang hatten Angreifer freie Bahn. Zwischen dem 4. September, als die ersten Attacken auf Shops mit Adobe Commerce und Magento Open Source begannen, und dem 7. September, als Adobe den Notfall-Hotfix APSB26-146 veröffentlichte, installierten sie nach Erkenntnissen des Sicherheitsdienstleisters Sansec Linux-Backdoors und PHP-Web-Shells in betroffenen Installationen. Die Sicherheitslücke CVE-2026-75650 trägt den Codenamen StyleSmuggler und wurde mit dem CVSS-Höchstwert von 10,0 eingestuft. Wer jetzt nur den Patch einspielt, könnte die eigentliche Gefahr übersehen: Eindringlinge, die längst im System sitzen.
Technisch gesehen schleust StyleSmuggler Schadcode über das Template-System von Magento ein. Die Angreifer nutzen die styles-Eigenschaften der Layout-Engine, um vorhandene Schutzmechanismen zu umgehen, und bringen den Shop in einem zweiten Schritt dazu, eingeschleusten PHP-Code selbst auszuführen. Für die Attacke ist kein Login nötig – ein anonymer Request aus dem Internet genügt. Betroffen sind alle Versionen von Adobe Commerce, Adobe Commerce B2B und Magento Open Source im Bereich 2.4.4 bis 2.4.9, also praktisch jede aktuell gepflegte Installation.
Warum reicht der Hotfix nicht aus?
Die Antwort liegt in der Anatomie des Angriffs: Ein Patch schließt die Tür, er räumt aber nicht auf, was durch die offene Tür hereingekommen ist. Sansec dokumentierte Fälle, in denen die Angreifer eine in Rust geschriebene Backdoor zusammen mit einer klassischen PHP-Web-Shell ablegten. Beide überleben das Patchen unbeschadet. Der Shop ist dann formal auf dem neuesten Stand – und praktisch weiterhin fremdgesteuert.
Besonders pikant: Das erste bekannte Opfer lief zum Zeitpunkt des Angriffs bereits auf dem aktuellsten Sicherheitsrelease. Gegen einen Zero-Day hilft schnelles Patchen bekannter Lücken schlicht nicht. Das rund 70-stündige Fenster zwischen erster Ausnutzung und Adobe-Hotfix haben die Angreifer konsequent genutzt.
Was müssen Shopbetreiber jetzt konkret tun?
Zuerst: Hotfix APSB26-146 sofort einspielen, falls noch nicht geschehen. Adobe stuft das Bulletin mit Priorität 1 ein, der höchsten Dringlichkeitsstufe. Magento-Open-Source-Nutzer finden das entsprechende Paket im gleichen Advisory. Anschließend beginnt die eigentliche Arbeit.
Prüfen Sie das Dateisystem auf unbekannte PHP-Dateien, insbesondere in Verzeichnissen, die keine ausführbaren Dateien enthalten sollten. Kontrollieren Sie die Admin-Benutzerliste auf fremde Konten und die Cron-Jobs auf Einträge, die niemand im Team angelegt hat. Ein Blick in die Webserver-Logs der Tage ab dem 4. September zeigt auffällige POST-Requests gegen Template-Endpunkte. Sansec veröffentlicht laufend Indicators of Compromise, die sich für einen Abgleich eignen. Wer kein eigenes Security-Team hat, sollte jetzt nicht improvisieren: Server-Side-Malware-Scanner wie die von Sansec oder ein forensischer Check durch den Hoster sind gut investiertes Geld.
Ein gepatchter Shop ist ein geschlossener Shop. Ein sauberer Shop ist eine andere Baustelle – und die beginnt erst nach dem Update.
Für Händler, die den Betrieb auf Adobe Commerce Cloud ausgelagert haben, gilt die Prüfpflicht ebenso: Der Hotfix wird zwar teilweise automatisiert ausgerollt, doch die Verantwortung für die Integrität der eigenen Anpassungen und Integrationen bleibt beim Betreiber. Erwähnenswert ist in diesem Zusammenhang, dass mehrere Payment-Dienstleister in ihren AGB verlangen, Sicherheitsvorfälle unverzüglich zu melden – wer eine Kompromittierung feststellt und schweigt, riskiert neben dem Image- auch den Vertragsschaden.
StyleSmuggler ist der erste Magento-Zero-Day mit Höchstwertung seit Jahren, und die Taktik der Angreifer deutet auf professionelle Gruppen hin, die gezielt Checkout-Daten und Kundendatensätze ernten. Die nächsten Wochen werden zeigen, wie viele Shops in der Angriffsphase tatsächlich getroffen wurden. Wer jetzt nur patched und nicht sucht, erfährt die Antwort möglicherweise über eine Abmahnung – oder über gestohlene Kundendaten im Umlauf.