50 Minuten brauchten die Angreifer. So lange verging zwischen der ersten bestätigten Ausnutzung der neuen Magento-Lücke am 4. September 2026, 22:20 Uhr UTC, und der Kompromittierung eines Produktivservers, den die niederländische E-Commerce-Plattform Disrex verwaltet. Gestern, am 8. September, hat Adobe nun einen Hotfix für die Schwachstelle veröffentlicht: CVE-2026-75650, CVSS-Score 10,0 – die höchste Bewertung, die das System vergibt.
Betroffen sind Adobe Commerce und Magento Open Source bis einschließlich der August-Patchlevel 2026, konkret die Versionen 2.4.4 bis 2.4.9 sowie die B2B-Erweiterungen 1.3.3 bis 1.5.3. Wer einen dieser Stacks betreibt und noch nicht gepatcht hat, fährt seinen Shop offen. Die niederländische Sicherheitsfirma Sansec, die die Kampagne entdeckte und ihr den Namen „StyleSmuggler“ gab, beobachtet aktive Angriffe seit dem 4. September.
Wie funktioniert der StyleSmuggler-Angriff?
Die Lücke steckt im Template-System von Magento selbst. Angreifer injizieren PHP-Code über das Vorlagensystem und lösen die Generierung einer „Payment Transaction Failed Reminder“-E-Mail aus – eine Standardfunktion, die jeder Magento-Shop nutzt. Genau dieser Vorgang führt den eingeschleusten Code aus, ohne dass eine Authentifizierung nötig wäre. Disrex beschreibt es so: StyleSmuggler macht aus Magentos eigener Template-Verarbeitung und Dependency Injection eine Remote-Code-Execution-Kette.
Was die Täter danach installieren, ist bemerkenswert professionell. Zum einen eine in Rust geschriebene Linux-Backdoor, die eine Verbindung zu einem externen Command-and-Control-Server aufbaut und auf weitere Befehle wartet. Zum anderen einen PHP-Dropper, der eine Web Shell auf den Server schreibt und beliebigen PHP-Code ausführen kann. Beides zusammen bedeutet: Die Angreifer bleiben im System, auch wenn der initiale Angriffsweg geschlossen wird.
Was müssen Magento- und Adobe-Commerce-Händler jetzt tun?
Adobe stellt die Patches als Composer-Hotfix unter der Kennung VULN-39341 bereit, versionsabhängig für die genannten Zweige. Das Unternehmen rät ausdrücklich dazu, zusätzlich die Encryption Keys zu rotieren – ein Schritt, den viele Betreiber gern überspringen, der hier aber Pflicht ist, da Angreifer über die Code-Ausführung an Konfigurationsdaten gelangen können.
Drei Schritte, in dieser Reihenfolge:
- VULN-39341-Patch für die eigene Version einspielen (Download über das Magento-Repository)
- Encryption Keys rotieren und Integrationen prüfen
- Server auf Indikatoren untersuchen: unbekannte Prozesse, neue PHP-Dateien im Document Root, ausgehende Verbindungen zu unbekannten Hosts
Wer keine eigenen Server-Administration betreibt, sollte das Thema heute an seine Agentur oder seinen Hoster eskalieren – nicht in der kommenden Woche. Bei Managed-Commerce-Umgebungen ist zu klären, wer für den Hotfix verantwortlich ist. Ergänzend lohnt sich ein Blick auf serverseitige Malware-Scanner wie den von Sansec oder eComscan; solche Werkzeuge erkennen Web Shells und Kreditkarten-Skimmer, die ein reines Versions-Update nicht berührt.
CISA setzt Frist – und die Angriffe laufen weiter
Die US-Sicherheitsbehörde CISA hat CVE-2026-75650 am 8. September in ihren Katalog bekanntermaßen ausgenutzter Schwachstellen aufgenommen und Bundesbehörden angewiesen, bis zum 11. September zu patchen. Eine formale Pflicht trifft Händler damit nicht – aber die Aufnahme in den KEV-Katalog ist ein zuverlässiger Indikator dafür, dass die Angriffsaktivität real und breit angelegt ist. Die Telemetrie von Previdian zeigt seit dem 7. September Angriffsversuche aus China und Rumänien, bislang ohne Erfolg an den dortigen Honeypots.
Ein CVSS 10.0 mit aktiver Ausnutzung im E-Commerce-Kern ist kein Fall für den nächsten Wartungszyklus. Es ist der Fall für heute Nachmittag.
Parallel zu diesem Hotfix hat Adobe über 170 weitere Schwachstellen in seinen Produkten geschlossen, darunter eine weitere 10,0-Lücke in Campaign Classic. Für Shopbetreiber bleibt die Priorität klar: Magento zuerst. Die Angriffe laufen, die Backdoor wartet – und der Zeitabstand zwischen Disclosure und Kompromittierung misst sich in diesem Fall in Minuten, nicht in Tagen.