Vier Tage ohne Patch – so lange blieb eine maximale Sicherheitslücke in Magento Open Source und Adobe Commerce offen, während Angreifer bereits Shops kompromittierten. Am Montag hat Adobe nun den Hotfix VULN-39341 veröffentlicht und schließt damit CVE-2026-75650, den Zero-Day, den das niederländische Sicherheitsunternehmen Sansec „StyleSmuggler“ getauft hat. Die Bewertung: CVSS 10.0, die höchstmögliche Stufe. Für Shopbetreiber heißt das: Patchen allein reicht nicht. Adobe verlangt zusätzlich die Rotation aller Verschlüsselungsschlüssel.
Die ersten bestätigten Angriffe liefen bereits am 4. September um 22:20 Uhr UTC. Sansec veröffentlichte seine Warnung einen Tag später – ungewöhnlich früh, begründet mit der akuten Lage: „Sansec veröffentlicht früh, weil Shops gerade kompromittiert werden.“ Wie schnell es gehen kann, zeigt ein Fall der niederländischen Magento-Plattform Disrex: Ein verwalteter Server wurde 50 Minuten nach dem ersten bekannten Angriff übernommen.
Wie funktioniert der StyleSmuggler-Angriff?
Die Lücke steckt in Magentos Template-System. Angreifer injizieren PHP-Code, der beim Generieren einer Transaktions-E-Mail ausgeführt wird – konkret der „Payment Transaction Failed Reminder“, einer Standard-Mail bei fehlgeschlagenen Zahlungen. Die Kombination aus Template-Verarbeitung und Dependency Injection wird so zur unauthentifizierten Remote-Code-Execution-Kette. Kein Admin-Login nötig, kein Benutzerkonto, kein Vorwissen.
Was die Angreifer auf kompromittierten Servern hinterlassen, ist bemerkenswert: Sansec beobachtete eine in Rust geschriebene Linux-Backdoor, die sich mit einem externen Command-and-Control-Server verbindet und auf weitere Befehle wartet. Parallel kursiert ein PHP-Dropper, der eine Web Shell ablegt – der Klassiker für dauerhaften Zugriff auf den Shop. Rust-Backdoors sind in der E-Commerce-Kriminalität noch selten; sie deuten auf professionellere Akteure hin als die üblichen Magecart-Skimmer-Gruppen.
Dass die Angriffswelle real ist, bestätigen auch unabhängige Beobachtungen. Das Sicherheitsunternehmen Previdian registrierte seit dem 7. September zwölf Exploit-Versuche auf seinen Honeypots, ausgehend von IP-Adressen in China und Rumänien. Diese Versuche scheiterten – doch Honeypots sind gezielt gehärtet. Produktive Shops ohne Patch sind es nicht.
Welche Versionen sind betroffen?
Adobe listet praktisch alle aktuell gepflegten Zweige. Bei Adobe Commerce und Magento Open Source sind die Versionen 2.4.4 bis 2.4.9 betroffen, jeweils bis einschließlich des August-2026-Release-Levels. Bei Adobe Commerce B2B die Linien 1.3.3 bis 1.5.3. Wer eines dieser Systeme betreibt, läuft ohne den Hotfix mit einer bekannten, aktiv ausgenutzten Lücke.
- Hotfix VULN-39341 als Composer-Patch von repo.magento.com einspielen, passend zur eingesetzten Version
- Verschlüsselungsschlüssel rotieren – Adobe stuft dies als Pflichtschritt ein, nicht als Empfehlung
- Logs und Dateisystem auf Web Shells und unbekannte Prozesse prüfen; Kompromittierung vor dem Patch ist möglich
- Bei Hosting-Dienstleistern oder Agenturen nachhaken, ob der Patch bereits ausgerollt wurde
Was bedeutet das für den Shop-Betrieb?
Der Fall legt ein strukturelles Problem offen: Die kritischste Phase lag zwischen erstem Angriff und Adobes Patch – vier Tage, in denen Händler auf Sansecs Frühwarnung und eigene Absicherung angewiesen waren. Wer ein Web Application Firewall-Setup mit Virtual-Patching-Regeln betreibt, etwa über Sansec eComscan oder vergleichbare Magento-spezialisierte Werkzeuge, war in diesem Fenster besser geschützt als Shops mit Standard-Hosting.
Beunruhigend ist der Angriffsvektor selbst. Eine Transaktions-E-Mail – ein Prozess, den jeder Shop täglich hunderte Male auslöst – als Ausführungskanal für Schadcode. Das ist kein exotischer Edge Case, sondern Kernfunktionalität. Agenturen und interne Teams sollten die Key-Rotation nicht aufschieben: Ohne sie bleiben bereits exfiltrierte Daten wie Kunden- und Zahlungsinformationen verwertbar, selbst wenn die Lücke geschlossen ist.
Die nächsten Tage entscheiden, wie groß der Schaden wird. Zero-Days mit CVSS 10.0 und frei verfügbarer Angriffskette ziehen Massen-Scans nach sich; die zwölf Honeypot-Versuche sind vermutlich erst der Anfang. Wer bis zum Wochenende nicht gepatcht und rotiert hat, sollte den Shop eher vom Netz nehmen als auf Glück zu setzen.