4. September, 22:20 Uhr UTC: Auf einem Magento-Shop, der alle Sicherheits-Updates vom Juli und August installiert hatte — Version 2.4.6-p15 —, schlagen Angreifer zum ersten dokumentierten Mal zu. Sie brauchen dafür weder ein Kundenkonto noch Admin-Zugangsdaten. Einen Tag später veröffentlicht das niederländische Sicherheitsunternehmen Sansec die Analyse: Die Schwachstelle heißt StyleSmuggler, ist ein Zero-Day und wird bereits aktiv ausgenutzt. Adobe hat bis Redaktionsschluss weder einen Patch noch eine CVE-Nummer veröffentlicht.
Was macht die StyleSmuggler-Lücke so gefährlich?
StyleSmuggler ermöglicht unauthentifizierte Remote-Code-Ausführung: Jeder, der die Storefront über HTTP erreicht, kann Schadcode auf dem Server ausführen — typischerweise im Kontext des Webserver-Nutzers. Damit stehen Kundendaten, Zahlungsinformationen und Admin-Bereich offen.
Die Angriffskette ist ungewöhnlich perfide. Über den styles-Parameter einer GraphQL-Anfrage schleusen die Angreifer PHP-Code in eine von Magento automatisch erzeugte Log-Datei. Anschließend lösen sie eine Transaktionsmail aus — konkret die E-Mail bei fehlgeschlagenen Zahlungen. Deren Versand zwingt den Dependency-Injection-Scanner von Magento, die vergiftete Datei einzubinden und auszuführen. Ein Mechanismus, den kein Shopbetreiber im Alltag deaktiviert, wird so zur Einfallstür.
Die installierte Hintertür tarnt sich als Schrift-Cache-Prozess — für Monitoring-Systeme kaum von legitimer Shop-Aktivität zu unterscheiden.
Welche Magento-Versionen sind betroffen — und wann kommt der Patch?
Sansec reproduzierte die komplette Angriffskette auf den Versionen 2.4.7, 2.4.8 und 2.4.9. Dass das erste bestätigte Opfer auf 2.4.6-p15 lief — mit allen verfügbaren Patches —, zeigt das eigentliche Problem: Update-Disziplin allein schützt hier nicht. Betroffen sind Magento Open Source und Adobe Commerce gleichermaßen.
Adobes letztes Security Bulletin (APSB26-92) stammt vom 11. August. Das nächste reguläre Bulletin war schon vor der Entdeckung für den 8. September terminiert — ob es einen Fix für StyleSmuggler enthält, hat Adobe nicht bestätigt. Kommt der Patch, dürfte er wie üblich als isoliertes Update pro Versionszweig erscheinen und setzt den jeweils aktuellen Patch-Stand voraus.
Was sollten Shopbetreiber jetzt konkret tun?
Sofort handeln heißt: Angriffsfläche schließen, Shop auf Kompromittierung scannen, Zugangsdaten wechseln. Vier Schritte sind bis zum Adobe-Patch sinnvoll:
- Den GraphQL-Endpunkt temporär deaktivieren oder strikt einschränken, sofern keine eigene Schutzmaßnahme greift — hier liegt der Einstiegspunkt der Attacke.
- Den Shop mit Sansecs eComscan auf Befall prüfen. Die Extension erkennt die dokumentierten Indicators of Compromise und ist für genau solche Magento-Forensik gebaut.
- Sämtliche Magento-Zugangsdaten rotieren, sobald auch nur ein Verdachtsfall auftaucht.
- Server-Logs auf verdächtige GraphQL-Requests und unbekannte Prozesse prüfen — insbesondere alles, was nach Font-Cache aussieht, aber nicht dorthin gehört.
Für Händler mit Agentur-Betreuung gilt: Nicht bis zum 8. September warten, sondern heute nachfragen, ob GraphQL abgesichert und ein Scan gelaufen ist. Ob Adobe den Termin nutzt und den Fix liefert, wird zeigen, wie ernst der Hersteller den Vorfall nimmt. Bis dahin fährt jeder ungeschützte Shop mit nachweislich offener Tür — und die Angreifer kennen den Schlüsselbund bereits.