Am 5. September hat das niederländische Sicherheitsteam Sansec eine Zero-Day-Lücke in Adobe Commerce und Magento Open Source öffentlich gemacht: StyleSmuggler, offiziell CVE-2026-75650. Angriffe laufen seit dem 4. September – drei Tage, bevor Adobe am 7. September den Hotfix VULN-39341 und das Bulletin APSB26-146 nachgeschoben hat. Adobe stuft die Lücke mit CVSS 10.0 und Priority 1 ein und bestätigt selbst, dass sie aktiv gegen Händler:innen ausgenutzt wird. Höher geht die Skala nicht.
Was passiert da technisch?
Angreifer:innen schmuggeln PHP-Code über Style-Eigenschaften in das Template-System von Magento. Der Code wird auf die Festplatte geschrieben und ausgeführt, sobald der Shop ein Transaktions-E-Mail-Template rendert – konkret die Mail zu einer fehlgeschlagenen Zahlung. Kein Login, keine Interaktion der Nutzer:innen, keine erhöhten Rechte nötig. In beobachteten Fällen haben die Angreifer:innen anschließend ein persistentes Implantat hinterlassen, das sich als regulärer Linux-Prozess tarnt und per Cron neu gestartet wird.
Wer ist betroffen?
- Adobe Commerce und Magento Open Source in allen Versionen von 2.4.4 bis 2.4.9 (Patch-Stand August 2026).
- Adobe Commerce B2B von 1.3.3 bis 1.5.3.
- Praktisch jeder produktive Magento-Shop, der nicht innerhalb der letzten Tage gepatcht wurde.
Warum reicht der Hotfix nicht?
Weil die Angriffe vor dem Patch begonnen haben. Wer erst jetzt einspielt, schließt die Tür – hat den Eindringling im Zweifel aber schon im Haus. Adobe empfiehlt deshalb ausdrücklich, nicht nur den Verschlüsselungs-Key zu tauschen, sondern alle damit verschlüsselten oder verbundenen Zugangsdaten: Payment-Gateway-Credentials, API- und Integrations-Tokens, Datenbank- und Server-Zugänge, Admin-Passwörter. Dazu kommt eine echte Kompromittierungsprüfung: veränderte oder neu angelegte Dateien, unbekannte Cronjobs, auffällige Prozesse, neue Admin-Accounts und ausgehende Verbindungen.
Was solltest du jetzt tun?
- Hotfix VULN-39341 als Composer-Patch einspielen – er ist für 2.4.4 bis 2.4.7 freigegeben, für neuere Stände gilt der jeweilige Patch aus APSB26-146.
- Danach prüfen, ob der Shop zwischen 4. und 7. September kompromittiert wurde – Dateiintegrität, Cron, Prozesse, Logs.
- Secrets rotieren, nicht nur den Encryption-Key.
- Transaktions-E-Mail-Templates gegen die Auslieferung kontrollieren – dort landet der Payload.
- Monitoring nachziehen, damit der nächste Zero-Day nicht wieder über Tage unbemerkt läuft.
Wir betreuen Magento-Shops seit Jahren und sind Adobe Certified Professional – wir spielen den Hotfix ein, prüfen deinen Shop forensisch auf Spuren und ziehen die Zugangsdaten sauber nach. Dasselbe gilt für dein übriges Setup, egal ob TYPO3, WordPress, Magento, eine individuelle Laravel-Applikation oder ein Headless-Setup mit Payload oder Directus. Bei einem Shop mit Zahlungsdaten zählt jede Stunde: Nimm jetzt Kontakt auf!
Quellen:
