CVSS 10.0 — die höchstmögliche Bewertung. So stuft Adobe die Zero-Day-Lücke StyleSmuggler ein, die seit dem 4. September 2026 aktiv gegen Magento- und Adobe-Commerce-Shops eingesetzt wird. Die Sicherheitsfirma Sansec hatte die Angriffswelle entdeckt; drei Tage später, am Abend des 7. September, lieferte Adobe mit dem Security Bulletin APSB26-146 einen Hotfix nach. Wer einen Shop auf Magento Open Source oder Adobe Commerce betreibt, sollte diesen Text nicht zu Ende lesen, sondern zuerst patchen.
Was macht die StyleSmuggler-Lücke so gefährlich?
StyleSmuggler erlaubt unauthentifizierten Angreifern die Ausführung beliebigen Server-Codes — ohne Login, ohne Interaktion eines Admins. Die Attacke läuft in zwei Stufen: Zunächst schleusen die Angreifer PHP-Code über die styles-Properties in Magentos Template-System ein, etwa über einen generierten Fehlerreport. Anschließend lösen sie gezielt die Standard-Mail „Payment Transaction Failed Reminder“ aus. Beim Rendern dieser E-Mail führt Magento den vergifteten Code aus — niemand muss die Mail öffnen, der Angriff funktioniert selbst dann, wenn der Versand scheitert.
Besonders unangenehm: Der aktuelle Patch-Stand schützt nicht. Sansec reproduzierte die komplette Angriffskette auf sauberen Installationen von Magento Open Source 2.4.7, 2.4.8 und 2.4.9. Das erste bekannte Opfer lief auf 2.4.6-p15 mit allen Juli- und August-Patches. Auch das Verlegen der Sessions nach Redis oder in die Datenbank stoppt die Attacke nicht — ein Angreifer wich binnen acht Sekunden auf einen Upload über Magentos Custom Options aus.
Welche Versionen betrifft CVE-2026-75650?
Adobe hat den Hotfix gegen die August-2026-Releases von Adobe Commerce 2.4.4 bis 2.4.9, Magento Open Source 2.4.4 bis 2.4.9 sowie Adobe Commerce B2B 1.3.3 bis 1.5.3 getestet. Ältere Versionen dieser Zweige sind ebenfalls verwundbar, dort ist der Patch jedoch unverifiziert. Das Bulletin trägt Adobes höchste Prioritätsstufe 1 — die Einstufung, die der Hersteller für bereits ausgenutzte Lücken reserviert.
Der Fix kommt nicht als vollständiges Release, sondern als Composer-Patch: Das Archiv VULN-39341-composer-patches.zip liegt auf repo.magento.com bereit und wird per magento-patches eingespielt. Agenturen und Hoster sollten die Installation mit dem Status-Befehl verifizieren, statt sich auf eine fehlerfreie Ausgabe beim Einspielen zu verlassen.
Warum reicht der Patch allein nicht?
Weil die Lücke drei Tage lang ohne Gegenwehr ausgenutzt wurde. Die Angreifer installieren eine persistente Hintertür: ein in Rust geschriebenes Hintergrundprogramm, das sich als Kernel-Prozess [kworker/u:8:0], als fc-cache oder zuletzt als chronyd tarnt und über Cron-Einträge immer wieder neu startet. Die Befehlsverbindung läuft getarnt als NTP-Zeitsynchronisation über UDP-Port 123 — ein Trick, der die meisten Ausgangsfilter passiert. Sansec beobachtet zudem einen zweiten, unabhängigen Angreifer, der über dieselbe Lücke eine PHP-Webshell im Produktbild-Cache unter pub/media ablegt.
Adobe empfiehlt deshalb neben dem Patch die Rotation des Verschlüsselungsschlüssels und aller damit geschützten Zugangsdaten: Admin-Passwörter, REST-, SOAP- und GraphQL-Tokens, OAuth-Secrets, Payment-Gateway-Credentials, Datenbank- und SSH-Schlüssel. Und zwar an der Quelle, nicht nur innerhalb von Magento — ein neuer Schlüssel macht bereits ausgelesene Daten nicht ungeschehen.
Als konkrete Indikatoren gelten auffällige Hintergrundprozesse, Cron-Einträge mit Pfaden wie ~/.cache/fontconfig/fc-cache oder /tmp/.chrony-* sowie PHP-Dateien unterhalb von pub/media. Unerklärliche Häufungen der Mail „Payment Transaction Failed Reminder“ sind ebenfalls ein Warnsignal. Für die forensische Prüfung hat Sansec sein Scan-Tool eComscan in Version 1.9.7 aktualisiert; das hauseigene Shield blockiert die bislang beobachteten Angriffsvarianten.
Die Angreifer wechseln ihre Payloads seit dem 4. September mehrmals täglich. Wer wartet, patchet gegen gestern.
Für Shop-Betreiber heißt die Reihenfolge jetzt: Hotfix einspielen, Server auf Kompromittierung scannen, Zugangsdaten rotieren. SessionReaper im vergangenen Jahr hatte gezeigt, wie lange Magento-Händler mit kritischen Patches warten — damals blieben wochenlang drei von fünf Shops verwundbar. Bei einer Lücke, die bereits im freien Umlauf ausgenutzt wird, ist das keine Option mehr.