Seit dem 4. September 2026 laufen Angriffe auf Magento-Shops – drei Tage, bevor es überhaupt einen Patch gab. Adobe hat jetzt mit dem Sicherheitsbulletin APSB26-146 einen Hotfix für die Zero-Day-Schwachstelle CVE-2026-75650 veröffentlicht, die Sicherheitsforscher auf den Namen „StyleSmuggler“ getauft haben. Die Bewertung: CVSS 10,0, die höchstmögliche Stufe. Für Betreiber von Adobe Commerce und Magento Open Source gibt es derzeit kein wichtigeres To-do als dieses Update.
Entdeckt hat die Lücke das niederländische Sicherheitsunternehmen Sansec, das auf kompromittierte Shops spezialisiert ist. Die Schwachstelle erlaubt Remote Code Execution ohne Authentifizierung – Angreifer brauchen also weder Zugangsdaten noch eine Kunden-Session, um eigenen Code auf dem Server auszuführen. Adobe stufte das Bulletin mit Priority 1 ein, der höchsten Dringlichkeitsstufe, die der Hersteller vergibt.
Was macht die StyleSmuggler-Lücke so gefährlich?
Der Angriff funktioniert in zwei Stufen. Zuerst schleusen die Angreifer Schadcode in das Template-System von Magento ein, getarnt über die sogenannten styles-Properties – ein Weg, der bestehende Schutzmechanismen umgeht. Im zweiten Schritt bringt Magento den Code selbst zur Ausführung. Das Ergebnis: persistente Hintertüren auf dem Server, über die die Täter jederzeit zurückkehren können.
Genau hier liegt die Falle für Händler, die nur patchen und dann zur Tagesordnung übergehen. Wer vor dem Patch angegriffen wurde, bleibt auch nach dem Update kompromittiert – der Hotfix schließt das Einfallstor, entfernt aber keine bereits installierten Backdoors. Sansec beobachtet, dass die Angreifer ihre Methoden laufend anpassen.
Welche Versionen sind betroffen – und wie wird gepatcht?
Betroffen sind Adobe Commerce, Adobe Commerce B2B und Magento Open Source. Adobe liefert den Fix bewusst als Hotfix, nicht als vollständiges Release: Das Paket VULN-39341-composer-patches.zip steht über repo.magento.com bereit und wird als Composer-Patch eingespielt. Getestet hat Adobe den Hotfix gegen die Release-Stände vom August 2026; ältere Patch-Level sollten zuvor auf den aktuellen Stand gebracht werden. Ob die Installation sauber durchgelaufen ist, prüfen Administratoren mit dem Befehl vendor/bin/magento-patches -n status – dort muss der Patch 39341 als eingespielt erscheinen.
Kunden auf Adobe Commerce Cloud sollten verifizieren, dass der Patch auf ihrer Instanz tatsächlich ausgerollt wurde, statt sich auf die Managed-Umgebung zu verlassen. Wer eine Web Application Firewall einsetzt, findet bei Sansec Indicators of Compromise und Erkennungsregeln, die als Übergangsschutz dienen können.
Was müssen Shopbetreiber jetzt konkret tun?
Die Reihenfolge entscheidet. Erst kompromittierte Systeme identifizieren, dann patchen – oder zumindest beides parallel. Ein Blick in die Logs der letzten Wochen, die Prüfung auf unbekannte Admin-Konten und verdächtige Template-Dateien gehören ebenso dazu wie die Rotation von Zugangsdaten und API-Keys. Denn wer nur das Loch stopft, ohne die Hintertür zu suchen, hat das Problem nicht gelöst, sondern nur verschoben.
Für Agenturen und technische Dienstleister, die mehrere Magento-Instanzen betreuen, gilt: priorisieren nach Exposition. Shops mit offenem Checkout und gespeicherten Zahlungsdaten zuerst. Der Zeitrahmen ist kein theoretischer – zwischen erster Ausnutzung und Patch lagen 72 Stunden, und Scanner, die verwundbare Instanzen suchen, sind nach solchen Veröffentlichungen typischerweise innerhalb von Stunden unterwegs. Magento-Shops waren in der Vergangenheit wiederholt Ziel von Skimming-Kampagnen; StyleSmuggler liefert dafür die ideale Eintrittspforte.
Wer den Patch eingespielt und die Integrität seines Systems verifiziert hat, sollte den Vorfall trotzdem nicht abhaken. Die Angreifer haben bewiesen, dass sie Sicherheitsmechanismen gezielt umgehen können. Monitoring auf Template-Veränderungen und ungewöhnliche Server-Prozesse gehört ab jetzt zum Pflichtprogramm jedes Magento-Betreibers – nicht nur in der Woche nach dem Patch.