Seit dem 4. September 2026 läuft eine Angriffswelle auf Magento- und Adobe-Commerce-Shops. Die Sicherheitsforscher von Sansec haben die Zero-Day-Lücke „StyleSmuggler“ entdeckt und die komplette Angriffskette auf sauberen Installationen der Versionen 2.4.7, 2.4.8 und 2.4.9 nachvollzogen. Betroffen ist jede aktuelle Version von Magento Open Source und Adobe Commerce. Auch ein vollständig gepatchter Shop hilft nicht: Das erste bestätigte Opfer lief auf 2.4.6-p15 mit allen Sicherheitspatches von Juli und August 2026.
Wie funktioniert der StyleSmuggler-Angriff?
Der Angriff läuft in zwei Stufen und nutzt ausschließlich Funktionen, die Magento selbst mitbringt. Über die styles-Properties einer GraphQL-Anfrage schleusen die Angreifer PHP-Code ein, etwa in ein Fehlerprotokoll, das Magento bei einem gescheiterten Checkout selbst erzeugt. Ausgeführt wird der Code erst später – wenn Magento die Standard-Mail „Payment Transaction Failed Reminder“ rendert. Ob diese E-Mail zugestellt wird, spielt keine Rolle; die Ausführung passiert serverseitig beim Template-Rendering. Unerwartete Häufungen dieser Zahlungsfehler-Mails sind deshalb ein ernstzunehmendes Warnsignal.
Hinter der Kampagne steckt offenbar mehr als eine Gruppe. Sansec beobachtet eine Rust-basierte Hintertür, die sich als Kernel-Thread, fc-cache oder chronyd tarnt, per Cronjob Neustarts überlebt und ihren Command-and-Control-Verkehr als harmlosen NTP-Zeitabgleich auf UDP-Port 123 verschleiert. Ein zweiter, unabhängiger Angreifer nutzte dieselbe Lücke, um eine PHP-Webshell im Produktbild-Cache unter pub/media abzulegen – ein Verzeichnis, in dem eine Datei mehr kaum auffällt.
Adobe schweigt – welche Optionen haben Händler?
Von Adobe gibt es bislang weder Advisory noch CVE-Nummer noch Patch. Das letzte Commerce-Security-Bulletin stammt vom 11. August; der nächste planmäßige Release ist für den 8. September terminiert, ob er StyleSmuggler abdeckt, ist offen. Der Enterprise-Support bestätigte am 7. September lediglich, an einem Fix zu arbeiten – ohne Termin.
Wer nicht warten will, hat drei realistische Wege. Aikido hat kurzfristig gepatchte Drop-in-Pakete für die Branches 2.3.1, 2.4.7 und 2.4.8 veröffentlicht, die Template-Styles vor der Verarbeitung bereinigen, ohne ein Versionsupgrade zu erzwingen – ein Vorteil für Shops, deren Extensions ein Versionssprung typischerweise zerschießt. Sansec-Kunden blockt das Shield-Modul die Angriffe seit dem 5. September in Echtzeit; eComscan 1.9.7 findet das Implantat und beendet die Prozesse. Bleibt die Holzhammermethode: GraphQL temporär abschalten. Das stoppt den aktuellen Angriffsvektor, legt aber jedes Headless- oder PWA-Frontend lahm und schließt die Lücke nicht.
Woran erkennen Betreiber einen Befall?
Verdächtige Hintergrundprozesse verraten den Einbruch: kworker, fc-cache oder chronyd in der Prozessliste, unbekannte Cronjobs im Spool-Verzeichnis, PHP-Dateien unter pub/media. Wer www-data in /etc/cron.deny eingetragen hat, findet zudem im Syslog wiederholte Zeilen „crontab command not allowed“ – ein kostenloser Detektor, der den Infektionszeitpunkt auf die Sekunde eingrenzt. Zu blocken ist außerdem die C2-Adresse 185.157.160.251 samt der Domains ntp.timesync.to und ntp.timesysnc.net.
Magento- und Adobe-Commerce-Betreiber sollten heute die Prozessliste und das Medienverzeichnis prüfen, nicht am 8. September. Taucht ein verdächtiger Prozess auf, gehören sämtliche Magento-Zugangsdaten rotiert – das Implantat wurde mehrfach erst Stunden nach der Installation aktiv. Wer Kundendaten und Zahlungsinformationen auf einer Plattform hält, die seit Tagen ohne Vendor-Patch angegriffen wird, hat keinen Aufschub mehr.