Wer einen Shop auf Adobe Commerce oder Magento Open Source betreibt, hat seit dieser Woche ein Problem, das sich nicht aussitzen lässt. Die Schwachstelle CVE-2026-75650, intern als StyleSmuggler geführt, erlaubt einem nicht authentifizierten Angreifer die Ausführung beliebiger Befehle auf dem Server. Kein Login, keine Vorbedingung außer einer erreichbaren Instanz. Der US-Sicherheitsbehörde CISA reichte das, um den Bug in den Katalog bekannter, aktiv ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufzunehmen.
Das ist der entscheidende Unterschied zu den üblichen Patch-Dienstags-Meldungen: Die Ausnutzung läuft bereits. CISA nimmt einen Eintrag in die KEV-Liste nur vor, wenn belastbare Hinweise auf reale Angriffe vorliegen. Für Shopbetreiber bedeutet das, dass die Zeit zwischen Veröffentlichung eines Hotfixes und dem ersten kompromittierten System nicht Wochen, sondern Tage beträgt.
Was macht StyleSmuggler so gefährlich?
Remotecodeausführung ohne Authentifizierung ist die schwerste Kategorie in der Schwachstellenklassifikation. Ein Angreifer muss sich nicht anmelden, kein Kundenkonto kompromittieren, keine Admin-Session kapern. Es genügt ein präparierter Request gegen eine nicht gepatchte Instanz. Der Name StyleSmuggler deutet auf eine Lücke in der Verarbeitung von Stil- oder Layout-Parametern hin – ein Einfallstor, das in Magento-Codebasen immer wieder auftaucht, weil Templates, Themes und Admin-Panels über viele Jahre gewachsene Eingabepfade teilen.
Die praktische Konsequenz für betroffene Händler ist unangenehm konkret: Hat ein Angreifer erst einmal Code-Ausführung auf dem Server, kontrolliert er die Datenbank, die Kundendaten, die Zahlungsartefakte und potenziell auch angeschlossene ERP- oder PIM-Systeme. Bei Shops mit sechs- bis siebenstelligem Jahresumsatz ist das kein IT-Vorfall, sondern ein Betriebs- und Compliance-Notfall, der je nach Land auch meldepflichtig wird.
Welche Versionen sind betroffen – und was ist zu tun?
Betroffen sind nach aktuellem Stand alle Adobe-Commerce- und Magento-Open-Source-Versionen, für die Adobe einen Sicherheits-Hotfix bereitgestellt hat. Die genauen Versionsstände hat Adobe im zugehörigen Security Bulletin veröffentlicht; wer unsicher ist, ob die eigene Installation betroffen ist, sollte den Patch-Status über den Adobe-Commerce-Health-Check oder eine angeschlossene Monitoring-Lösung prüfen. Magento Open Source wird von der Community gepflegt – hier ist der Patch nicht automatisch verfügbar, sondern muss aktiv eingespielt werden.
Der Hotfix allein reicht nicht. Wer eine potenziell exponierte Instanz betreibt, muss von einer Kompromittierung ausgehen, bis das Gegenteil belegt ist. Das bedeutet konkret:
- Sämtliche Admin-, API- und Datenbank-Zugangsdaten rotieren – inklusive der Schlüssel in
app/etc/env.phpundapp/etc/config.php. - Integrations- und OAuth-Token im Adobe-Commerce-Admin unter System → Integrations widerrufen und neu ausstellen.
- Serverzugriffe der letzten 72 Stunden auf ungewöhnliche Requests gegen PHP-Endpunkte durchsuchen.
- Dateisystem auf unbekannte PHP-Dateien in
pub/,var/undgenerated/prüfen. - WAF-Regeln für die dokumentierten Angriffsmuster aktivieren, sofern ein WAF im Einsatz ist.
Extensions wie der Magento Security Scan von Sansec oder das MageReport-Monitoring liefern hier eine sinnvolle Ergänzung, ersetzen aber weder Patch noch Credential-Rotation. Wer einen Managed-Hosting-Anbieter für Magento nutzt, sollte schriftlich bestätigen lassen, wann der Hotfix ausgerollt wurde und ob Logs für eine forensische Nachprüfung vorliegen.
Warum die KEV-Aufnahme das eigentliche Warnsignal ist
Der Eintrag in der CISA-Liste verändert die Risikolage strukturell. Er verpflichtet US-Bundesbehörden zur Behebung binnen eines definierten Zeitfensters, und er ist für Angreifer ein Qualitätssiegel: Wer Schwachstellen automatisiert scannt, sieht KEV-Einträge als Prioritätssignal. Übertragen auf den deutschen Markt heißt das, dass die Scan-Aktivität gegen ungepatchte Magento-Instanzen in den kommenden Tagen deutlich zunehmen dürfte.
Ein ungepatchter Shop ist ab jetzt kein Betriebsrisiko mehr, sondern ein offenes Scheunentor.
Shopbetreiber, die den Hotfix noch nicht eingespielt haben, sollten das vor dem nächsten Business-Tag erledigen – und die Credential-Rotation nicht aufschieben, bis der erste Vorfall gemeldet wird. Wer wissen will, ob die eigene Instanz bereits kompromittiert wurde, kommt um eine forensische Prüfung der Server- und Anwendungslogs nicht herum. Ein reiner Patch ohne diese Prüfung beantwortet die falsche Frage.