Erst im September hat die Zero-Day-Lücke StyleSmuggler tausende Magento-Shops in Bedrängnis gebracht. Jetzt folgt die nächste Schwachstelle mit maximalem Schweregrad: CVE-2026-103849, von der E-Commerce-Sicherheitsfirma Sansec „BlockStrap“ getauft. Adobe hat am 13. Oktober das Sicherheitsupdate APSB26-153 veröffentlicht, das insgesamt elf Lücken schließt. BlockStrap ist die gefährlichste davon: Sie ermöglicht Angreifer:innen, ohne Login beliebigen PHP-Code auf dem Shop-Server auszuführen.
Warum ist das so ernst?
Die Lücke steckt in der Template-Engine für E-Mails, also genau dort, wo auch StyleSmuggler angesetzt hat. BlockStrap nutzt eine Lücke, die der September-Fix offen gelassen hat. Adobe meldet noch keine aktiven Angriffe und vergibt deshalb Priorität 2, also „innerhalb von 30 Tagen patchen“. Sansec widerspricht: Die Forscher:innen haben innerhalb von 24 Stunden vier mögliche Angriffswege gefunden. StyleSmuggler ging vom Patch zur Massenausnutzung in drei Tagen. Mit KI-Werkzeugen lassen sich Patches heute schnell in funktionierende Exploits zurückübersetzen.
Wer ist betroffen?
- Adobe Commerce 2.4.4 bis 2.4.9 bis einschließlich Stand „2026-sep“
- Magento Open Source 2.4.6 bis 2.4.9 bis einschließlich Stand „2026-sep“
- Adobe Commerce B2B bis einschließlich 1.5.3-2026-sep, hier kommt mit CVE-2026-92909 eine zweite kritische Code-Execution-Lücke dazu
Was solltest du jetzt tun?
- Das Oktober-Release (z. B. 2.4.9-2026-oct) oder den passenden isolierten Patch von Adobe einspielen. Laut Sansec reicht ein einfaches Composer-Update allein nicht aus.
- Den September-Hotfix für StyleSmuggler (CVE-2026-75650) unbedingt drin lassen. Die beiden Fixes ersetzen einander nicht.
- Mit dem Commerce Version Tool (patch-status) prüfen, ob alle monatlichen Patches vollständig und in der richtigen Reihenfolge installiert sind.
- Falls noch nicht geschehen: Encryption Keys und Zugangsdaten für Payment, Schnittstellen und Integrationen rotieren, wie von Adobe nach StyleSmuggler empfohlen.
- Dateisystem, Admin-Accounts und Checkout-Code auf verdächtige Änderungen kontrollieren.
Was droht, wenn du wartest?
Code-Ausführung auf dem Server heißt im Ernstfall: Zahlungs-Skimmer im Checkout, abgegriffene Kund:innendaten, Backdoors. Dazu kommen DSGVO-Meldepflichten binnen 72 Stunden und, für Unternehmen im Anwendungsbereich des NISG 2026, zusätzliche Meldepflichten bei Sicherheitsvorfällen.
Wir sind Adobe-zertifiziert und betreuen Magento-Shops seit vielen Jahren. Wir spielen das Oktober-Update ein, prüfen den Patch-Stand und kontrollieren deinen Shop auf Spuren eines Angriffs. Und wenn neben dem Shop noch mehr läuft: Wir kümmern uns genauso um TYPO3, WordPress, individuelle Laravel-Applikationen oder Headless-Setups mit Payload oder Directus.
Nimm jetzt Kontakt auf!
Quellen:
