Seit dem 4. September 2026 werden Magento- und Adobe-Commerce-Instanzen aktiv angegriffen, und es gibt bis heute keinen offiziellen Patch. Die Sicherheitslücke trägt den Namen „StyleSmuggler“. Entdeckt hat sie das Research-Team des niederländischen Security-Spezialisten Sansec. Die Lücke erlaubt Angreifern die Ausführung von Schadcode auf dem Server, ohne dass eine vorherige Anmeldung nötig wäre. Für Shopbetreiber heißt das: volle Kompromittierung, bis hin zu Skimming-Code im Checkout und gestohlenen Kundendaten.
Bestätigt sind Angriffe auf die Versionen 2.4.7, 2.4.8 und 2.4.9. Nach aktuellem Kenntnisstand sind alle Magento-2-Versionen betroffen, ausdrücklich auch vollständig gepatchte Installationen. Wer glaubt, mit dem letzten Adobe-Sicherheitsupdate auf der sicheren Seite zu sein, irrt. Genau das macht die Lage unangenehm: Es gibt kein Update, das man einfach einspielen könnte.
Wie funktioniert der StyleSmuggler-Angriff?
Die Antwort liegt im Template-System von Magento. Die Lücke nutzt die „styles“-Eigenschaften, um bestehende Sicherheitsvorkehrungen zu umgehen und PHP-Code einzuschleusen. Der Angriff läuft in zwei Schritten ab. Zuerst bringen die Angreifer manipulierten PHP-Code auf den Server, etwa über die Generierung eines Fehlerberichts, eine Technik, die als Log Poisoning bekannt ist. Im zweiten Schritt wird Magento dazu gebracht, diesen Code auszuführen. Als Auslöser dient ausgerechnet ein Standardprozess: die automatische E-Mail zu einer fehlgeschlagenen Zahlung.
Die beobachteten Angriffe laufen unter anderem über die Route /paypal/transparent/response/ sowie über /graphql-Anfragen mit einem charakteristischen Muster. Das ist relevant für alle, die PayPal-Integrationen oder Headless-Anbindungen über GraphQL betreiben, also für einen großen Teil der produktiven Magento-Landschaft.
Was Shopbetreiber jetzt konkret tun sollten
Sansec empfiehlt zwei Maßnahmen mit Priorität: den Shop auf Anzeichen einer Kompromittierung scannen und GraphQL deaktivieren, sofern es nicht zwingend benötigt wird. Wer einen Headless-Shop betreibt, kann GraphQL nicht einfach abschalten, hier müssen Web Application Firewall oder serverseitige Filter die bekannten Angriffsmuster blockieren.
Der deutsche Magento-Hoster Maxcluster zeigt, wie ein schneller Reaktionsplan aussieht. Unmittelbar nach Bekanntwerden hat der Anbieter alle betreuten Installationen geprüft, laufende Prozesse, Crontab-Einträge und die zum Angriff bekannten Dateien. Anschließend folgten drei Schritte, die sich auch für eigene Setups eignen:
- Sperrung der bekannten Angreifer-Infrastruktur, zwei IP-Adressen und eine Domain, auf Netzwerk- oder Firewall-Ebene.
- Blockierung der Angriffsrouten
/paypal/transparent/response/und der bekannten GraphQL-Muster auf PHP-Ebene. - Erweiterung der Endpoint-Security um eine Erkennungsregel für diesen spezifischen Angriff.
Wer keinen spezialisierten Hoster hat, findet im Repository von Graycore einen inoffiziellen Stop-Gap-Patch. Die Erweiterung härtet drei Punkte der Angriffskette: Die {{block}}-Direktive in E-Mail-Templates verweigert Backend-Blöcke, der URL-Generator der Admin-Grids validiert Klassen vor der Instanziierung, und Fehlerberichte der Web-API werden so verändert, dass eingeschmuggelte PHP-Tags nicht mehr ausführbar sind. Wichtig: Die Entwickler selbst sprechen von Härtung, nicht von einem Fix. Die Lücke bleibt offen, andere Angriffspfade sind weiterhin möglich. Trotzdem senkt der Patch das Risiko spürbar, als Überbrückung bis Adobe liefert.
Kein Patch in Sicht, und jetzt?
Adobe hat sich bislang nicht mit einem Termin für einen offiziellen Sicherheitspatch geäußert. Das erinnert an die CosmicSting-Welle von 2024, bei der ebenfalls Sansec zuerst warnte und Tausende Magento-Shops über Wochen ungeschützt blieben. Damals endete es für viele Händler mit Kreditkarten-Skimming im Checkout und DSGVO-Meldepflichten.
Für Shops ab einer Million Euro Jahresumsatz lautet die Prioritätenliste deshalb: Erst scannen, dann härten, dann die Logs der vergangenen Tage auf die genannten Routen prüfen. Wer Indikatoren für eine Kompromittierung findet, sollte nicht nur patchen, sondern den Shop aus einem sauberen Backup neu aufsetzen, RCE bedeutet, dass Angreifer beliebige Hintertüren hinterlassen haben können. Wer das ignoriert, weil „noch nichts passiert ist“, spielt mit der Zahlungsdaten seiner Kunden. Der nächste Adobe-Patchday wird zeigen, wie ernst der Konzern seine Commerce-Sparte noch nimmt.