Drei Tage reichten, um tausende Magento-Shops ins Visier zu nehmen. Seit dem 4. September nutzen Angreifer eine bislang ungepatchte Sicherheitslücke in Adobe Commerce und Magento Open Source aus, um Online-Shops mit einer Backdoor zu infizieren. Das niederländische Sicherheitsunternehmen Sansec, das die Kampagne entdeckte und auf dem Namen StyleSmuggler taufte, konnte die Angriffskette binnen Stunden auf sauberen Installationen nachvollziehen. Einen fertigen Patch gibt es bislang nicht.
Wie funktioniert der StyleSmuggler-Angriff auf Magento-Shops?
Der Angriff läuft in zwei Stufen und braucht keinerlei Interaktion durch Shop-Betreiber oder Kunden. Zunächst schleusen die Angreifer PHP-Code in das Template-System von Magento ein, getarnt in den sogenannten „styles“-Properties – ein Ort, den gängige Malware-Scanner kaum prüfen. Ausgelöst wird die Ausführung über eine Standardfunktion, die jeder Händler kennt: die E-Mail „Payment Transaction Failed Reminder“. Löst Magento diese Mail erneut aus oder schlägt der Versand fehl, führt das System den eingeschleusten Code aus. Remote Code Execution, unauthentifiziert, über den ganz normalen Bestellprozess.
Betroffen sind die Versionen 2.4.7, 2.4.8 und 2.4.9 – ausdrücklich auch Installationen, auf denen die Sicherheitspatches vom Juli und August 2026 bereits eingespielt sind. Wer glaubt, mit aktuellem Patchstand auf der sicheren Seite zu sein, irrt diesmal.
Rust-Backdoor tarnt sich als Systemprozess
Was die Angreifer nach dem erfolgreichen Exploit installieren, ist ungewöhnlich aufwendig gebaut. Die Backdoor ist in Rust geschrieben – kein typisches PHP-Webshell, das Datei-Integritätsscans sofort finden würden. Die erste Version gab sich als Kernel-Prozess „kworker/u:8:0“ aus, zwei Tage später, am 6. September, erschien bereits eine zweite Variante unter dem Decknamen „fc-cache“, einem harmlosen Font-Cache-Utility.
Noch bemerkenswerter ist die Kommunikation: Die Backdoor versteckt ihren Kontakt zum Command-and-Control-Server in Antworten, die wie NTP-Zeitserver-Verkehr aussehen. Wer im Netzwerkmonitoring nur auf auffällige HTTP-Requests achtet, sieht nichts. Übertragen werden unter anderem Hostname, Speicher- und Festplattenauslastung, Betriebssystemversion, Root-Zugriff und die öffentliche IP des Shops.
Warum gerade Magento-Händler jetzt handeln müssen
Adobe veröffentlicht seine planmäßigen Sicherheitsupdates am 8. September, dem monatlichen Patch Tuesday. Ob StyleSmuggler darin bereits geschlossen wird, ist unklar – zum Redaktionsszeitpunkt hatte sich Adobe nicht dazu geäußert. Für Shopbetreiber heißt das: Nicht auf den Patch warten, sondern selbst prüfen.
Den konkretesten Hinweis liefert Sansec selbst: Ein ungewöhnlicher Anstieg der „Payment Transaction Failed“-Mails ist ein Alarmsignal. Zwar erzeugen auch legitime abgelehnte Zahlungen diese Benachrichtigungen – aber eine plötzliche Häufung ohne erkennbaren Anlass im Payment-Gateway rechtfertigt eine forensische Untersuchung. Wer einmal mit einer Magento-Kompromittierung zu tun hatte, etwa in der CosmicSting-Welle 2024 oder bei SessionReaper (CVE-2025-54236) im vergangenen Jahr, weiß: Die Folgekosten einer übersehenen Backdoor übersteigen jeden Incident-Response-Einsatz deutlich. Bei Kunden- und Zahlungsdaten kommt in Deutschland zudem die 72-Stunden-Meldefrist der DSGVO ins Spiel.
Kurzfristig empfiehlt sich ein Server-seitiger Malware-Scan, etwa mit Sansecs eComscan, das die bekannten Indicators of Compromise dieser Kampagne bereits erkennt. Ergänzend sollten Händler die Prozessliste nach den genannten Tarnnamen durchsuchen, ausgehenden NTP-Traffic auf unbekannte Ziele prüfen und den administrativen Bereich per IP-Allowlist absichern. Hosting-Partner mit Magento-Spezialisierung – etwa auf Managed-Server-Ebene – ziehen solche Checks in der Regel auf Anfrage zeitnah durch.
Magento bleibt Zielscheibe, weil die Plattform im gehobenen Mittelstand stark verbreitet ist und viele Instanzen monatelang ohne Sicherheits-Monitoring laufen. Wer seinen Shop seit September 2025 nicht aktiv auf Kompromittierung untersucht hat, sollte den aktuellen Anlass nutzen – die nächste Lücke dieser Qualität ist keine Frage des Ob, sondern des Wann.