1.728 Mal dieselbe Zeile, und der Shop gehörte nicht mehr dem Händler
1.728 Mal. So oft stand ein und dieselbe Schadcode-Zeile in einem einzigen Magento-Shop, und jedes Mal, wenn ein Admin sie löschte, schrieb das Implantat sie innerhalb einer Sekunde neu. Dieses Detail aus der Berichterstattung von The Hacker News zum jetzt von Adobe gepatchten Zero-Day in Magento Open Source und Adobe Commerce sagt mehr über den Zustand des E-Commerce als jede CVE-Nummer: Angreifer waren nicht nur drin, sie hatten sich häuslich eingerichtet, und niemand im Betrieb hat es gemerkt.
Die Fakten, gerade noch einmal kompakt: Die niederländische Sicherheitsfirma Sansec entdeckte Anfang September eine unauthentifizierte Remote-Code-Execution-Lücke, getauft auf den Namen StyleSmuggler, registriert als CVE-2026-75650. Betroffen waren Magento Open Source 2.4.7 bis 2.4.9 und Adobe Commerce, und zwar inklusive Installationen mit aktuellem Patchstand. Ein voll gepatchter Shop war kein Schutz. Die Angreifer installierten eine in Rust geschriebene Backdoor und eine PHP-Web-Shell, getarnt als harmloser Kernel-Prozess. Adobe hat inzwischen einen Patch ausgeliefert. The Hacker News fasst die Tragweite so zusammen:
Attackers exploit a Magento and Adobe Commerce flaw to run server code without authentication and install persistent backdoors on vulnerable online stores.
Unauthentifiziert heißt: kein Login nötig, kein Phishing, kein geklickter Link. Wer den Shop im Internet erreichen kann, kann Code auf dem Server ausführen. Das ist die maximale Eskalationsstufe, und sie traf ausgerechnet die Software, auf der ein relevanter Teil des deutschen B2B- und Mittelstands-Handels läuft.
Der Skandal ist nicht die Lücke, sondern der Weg, wie wir davon erfahren
Zero-Days passieren. Jede ausgewachsene Commerce-Plattform mit Millionen Zeilen PHP wird Lücken haben, und wer etwas anderes behauptet, verkauft Schlangenöl. Was nicht passieren darf: dass eine niederländische Boutique-Security-Firma den aktiven Angriff findet, benennt und dokumentiert, während der Hersteller, ein Konzern mit knapp 30.000 Mitarbeitern und einem eigenen Commerce-Geschäft, tagelang kein Advisory, keinen Workaround, kein CVE herausgibt. Händler, die an diesem Wochenende schliefen, weil „Adobe das schon im Griff hat“, wurden von einer Realität geweckt, in der ihr wichtigster Umsatzkanal drei Tage lang weit offen stand.
Und hier wird es für den DACH-Markt unbequem. Magento ist in Deutschland kein Nischensystem. Agenturen von Hannover bis München betreuen hunderte Installationen, viele davon im Maschinenbau-B2B, viele auf Versionen, die schon vor StyleSmuggler Monate hinter dem Patchstand hinkten. Diese Shops werden betrieben wie Marketing-Websites: Deployment, wenn das Budget reicht, Monitoring gleich null, Incident Response ein leeres Kapitel im Wartungsvertrag. Dabei sind sie Zahlungsinfrastruktur. Auf diesen Servern laufen Bestellungen, Kundendaten, Zahlungsdatenströme, alles, was unter Art. 33 DSGVO eine Meldepflicht auslöst, sobald eine Web-Shell sie ausliest.
Patchen ist keine Strategie, sondern Hygiene
Der Instinkt vieler Händler nach solchen Meldungen ist immer derselbe: Patch einspielen, Häkchen setzen, weiter wie bisher. Genau dieser Reflex ist das eigentliche Risiko. CosmicSting, SessionReaper, jetzt StyleSmuggler, die Liste der kritischen Magento-Lücken der letzten Jahre liest sich wie ein Serientäter-Profil, und der Grund ist banal: Magento-Shops sind lukrative Ziele, weil dort Kreditkarten fließen und weil die Betreiber im Schnitt langsamer reagieren als die Angreifer. Eine Backdoor, die sich als Kernel-Worker tarnt und Sessions direkt aus Redis liest, findet kein Patch-Kalender. Die findet nur Prozessüberwachung, Integritäts-Checks und jemand, der nachts um drei einen Alert ernst nimmt.
Konkret heißt das für deutsche Händler: Fragen Sie Ihre Agentur oder Ihren Hoster diese Woche drei Dinge. Wie schnell hätten Sie StyleSmuggler auf meinem System bemerkt? Was ist Ihr vertraglich zugesicherter Reaktionsweg, wenn ein Zero-Day am Freitagabend publik wird? Und wer haftet, wenn über eine Web-Shell Kundendaten abfließen? Wenn auf zwei dieser Fragen Schweigen kommt, haben Sie keine technische Diskussion geführt, sondern eine Due Diligence.
Vielleicht ist die ehrlichste Erkenntnis aus diesem Vorfall eine andere: Adobe hat den Patch geliefert, die Agenturen werden patchen, und in sechs Monaten sitzt die nächste Backdoor in einem Shop, dessen Betreiber noch immer glaubt, Sicherheit sei eine Funktion des Herstellers. Sie ist es nicht. Sie ist eine Betriebsdisziplin. Also die Frage, die Sie Ihrem Dienstleister heute stellen sollten, schriftlich: Wann genau haben Sie meinen Server das letzte Mal auf fremde Prozesse geprüft, und können Sie das belegen?