Magento-Zero-Day StyleSmuggler: CVSS-10-Lücke ohne Login aktiv ausgenutzt

Redaktion YuSMP Group Redaktionsteam, YuSMP Group

Kurzfassung

Was StyleSmuggler ist

Sansec, ein auf Magento spezialisiertes Sicherheitsunternehmen, hat CVE-2026-75650 offengelegt, nachdem es die Lücke in laufenden Angriffen entdeckt hatte. Es handelt sich um eine Code-Injection-Schwachstelle in der Template-Engine von Magento: Ein Angreifer sendet präparierte Eingaben, die die Plattform bei der Template-Verarbeitung als PHP auswertet — und erhält damit beliebige Code-Ausführung auf dem Webserver. Der von Sansec beobachtete Angriffspfad läuft über die Funktion „Payment Transaction Failed Reminder“ — eine gewöhnliche E-Mail-Funktion im Shop, die sich als ohne Authentifizierung erreichbar erweist.

Genau diese Kombination macht sie für einen öffentlichen Shop zum schlimmsten anzunehmenden Fall. Es gibt keinen Login, den man umgehen müsste, keine Admin-Sitzung, die man stehlen müsste, keinen Phishing-Schritt, der einen Nutzer zum Klicken bringen müsste. Ein Shop, der schlicht online ist und auf einer betroffenen Version läuft, ist für jeden angreifbar, der ihn über das Netz erreicht. Für die meisten Magento-Shops — die ja gerade gefunden und besucht werden sollen — ist die Angriffsfläche damit das gesamte Internet.

Adobe hat dem Problem die höchste Priorität zugewiesen und am 8. September 2026 einen Out-of-Band-Hotfix veröffentlicht, intern als VULN-39341 geführt. Am selben Tag nahm die US-Behörde für Cyber- und Infrastruktursicherheit (CISA) CVE-2026-75650 in ihren Katalog Known Exploited Vulnerabilities (KEV) auf und setzte US-Bundesbehörden eine Frist bis zum 11. September — eine so kurze Frist reserviert CISA für Lücken, die aktiv angegriffen werden.

Warum die Lücke die Höchstnote 10 erhält

Ein CVSS-Basiswert von 10.0 wird selten vergeben: Die Schwachstelle muss auf jeder Achse des Modells maximal schlecht abschneiden. StyleSmuggler erfüllt alle Kriterien: Der Angriff erfolgt über das Netzwerk, die Komplexität ist gering, es sind keine Berechtigungen und keine Nutzerinteraktion nötig — und ein erfolgreicher Exploit kann Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems vollständig kompromittieren.

Aus der Bewertungssprache übersetzt heißt das: Ein entfernter, anonymer Angreifer kann mit einer einzigen Anfrage die vollständige Kontrolle über den Server übernehmen, und alles, womit der Shop arbeitet, liegt offen — Kundendaten, Bestellhistorie, gespeicherte Zahlungsmetadaten, Admin-Konten und die Datenbank-Zugangsdaten der Anwendung. Auf einem Magento-Server ist Remote-Code-Ausführung praktisch das Spielende, denn der Webprozess kann die Geheimnisse der Anwendung lesen und direkt auf die Datenbank zugreifen.

Adobe nennt als betroffene Releases Adobe Commerce 2.4.4 bis 2.4.9 (Builds bis einschließlich 2026-aug), Adobe Commerce B2B im Bereich 1.3.3–1.5.3 und Magento Open Source 2.4.6 bis 2.4.9. Dieser Bereich deckt den Großteil der produktiven Magento-Installationen ab — auch die selbst gehosteten Open-Source-Shops, die kleinere Händler und Agenturen ohne eigenes Sicherheitsteam betreiben.

Wie die Lücke vor dem Patch ausgenutzt wurde

Das Detail, das Ihr Risikomodell neu justieren sollte, ist die Zeitachse. Sansec bestätigte Angriffe ab dem 4. September 2026 — vier Tage, bevor Adobe überhaupt einen Fix anbieten konnte. Es war ein echter Zero-Day: In diesem Zeitraum gab es keinen Patch und keine Hersteller-Advisory, nur Angreifer, die sich unbemerkt Zugang verschafften. Jeder Shop, der in diesen Tagen aus dem Internet erreichbar und ungepatcht war, ist als potenziell kompromittiert zu behandeln — nicht bloß als „gefährdet“.

Was die Angreifer nach dem Eindringen taten, überdauert den Patch. Sansec meldete zwei Arten von Schadcode: eine in Rust geschriebene Linux-Backdoor, die für dauerhaften Fernzugriff externe Command-and-Control-Server kontaktiert, und — bei anderen Angriffen — eine PHP-Webshell, über die der Angreifer beliebige PHP-Befehle über den Shop selbst ausführt. Beide sind darauf ausgelegt, ein späteres Update zu überleben: Eine Anfang September platzierte Backdoor entfernt sich nicht von selbst, wenn Sie den Hotfix vom 8. September einspielen.

Deshalb gehen die offiziellen Empfehlungen über das Patchen hinaus. Weil Angreifer die Geheimnisse des Shops womöglich bereits ausgelesen haben, sollen Verteidiger Verschlüsselungsschlüssel und alle zugehörigen Zugangsdaten in den Quellsystemen rotieren — Admin-Passwörter, Datenbank-Zugangsdaten, Integrations-Tokens, SSH-Schlüssel und API-Schlüssel. War ein Magento-Server im Expositionsfenster offen, gelten seine Schlüssel als verbrannt.

Was das für Online-Händler in DACH bedeutet

Erstens: Behandeln Sie das als Incident Response, nicht als Patch-Zyklus. Der Reflex bei Patch-News ist, das Update einzuplanen und weiterzumachen; StyleSmuggler bricht diesen Reflex, weil die Ausnutzung vor dem Fix begann. Die richtige Reihenfolge für jeden E-Commerce-Betreiber mit Magento lautet: Hotfix sofort einspielen, dann davon ausgehen, dass der Shop erreicht worden sein könnte, und gezielt nach Spuren suchen. Ein sauberer Patch auf einem Server mit Backdoor ist trügerische Sicherheit.

Was das für den DACH-Markt bedeutet: Magento ist im deutschsprachigen Mittelstand und bei B2B-Händlern neben Shopware eine der verbreitetsten Shop-Plattformen — viele Installationen laufen selbst gehostet bei einer Agentur oder einem Managed-Hosting-Anbieter, der das Betriebssystem pflegt, die Anwendung aber nicht. Genau diese Konstellation macht einen Zero-Day wie StyleSmuggler hierzulande gefährlich. Das BSI empfiehlt grundsätzlich, kritische Sicherheitsupdates für aus dem Internet erreichbare Systeme vorrangig einzuspielen; für Shops mit Kundenkonten und Zahlungsabwicklung gilt das ohne Einschränkung.

Zweitens: Die Compliance-Uhr läuft neben der technischen. Ein Magento-Shop verarbeitet Karteninhaber- und personenbezogene Daten und fällt damit unter PCI DSS und die DSGVO. Zeigen Belege, dass Angreifer auf Kunden- oder Zahlungsdaten zugegriffen haben, kann die Meldepflicht ab Kenntnis zu laufen beginnen — nach Art. 33 DSGVO binnen 72 Stunden an die zuständige Aufsichtsbehörde, in Deutschland in der Regel die Datenschutzbehörde des jeweiligen Bundeslandes, in Österreich die Datenschutzbehörde (DSB). Schweizer Händler müssen eine Verletzung der Datensicherheit mit voraussichtlich hohem Risiko nach dem revidierten Datenschutzgesetz so rasch als möglich dem EDÖB melden. Die Expositionsanalyse ist also keine optionale Aufräumarbeit — sie entscheidet, ob ein meldepflichtiger Vorfall vorliegt.

Drittens: Seien Sie ehrlich, wer den Shop eigentlich überwacht. Viele Händler betreiben Magento Open Source auf eigener Infrastruktur, mit einer Agentur, die den Shop vor Jahren gebaut hat, und einem Hoster, der das Betriebssystem patcht, nicht aber die Anwendung. Diese Lücke — niemand ist klar für die Sicherheit auf Anwendungsebene zuständig — ist genau der Ort, an dem eine RCE ohne Authentifizierung zu einer monatelangen Kompromittierung wird. Kann Ihr Team nicht beantworten, „welche Version wir fahren, ob sie am 4. September exponiert war und wie eine Webshell auf unserem Server aussähe“, ist das die erste Lücke, die es zu schließen gilt — idealerweise mit Ingenieuren, die Magento-Interna und die Infrastruktur drumherum verstehen.

Checkliste: patchen und Spuren suchen

1. Version bestätigen. Ermitteln Sie den genauen Build von Adobe Commerce oder Magento Open Source in jeder Umgebung und markieren Sie alles im Bereich 2.4.4–2.4.9, was aus dem Internet erreichbar war.
2. VULN-39341 sofort einspielen. Installieren Sie Adobes Out-of-Band-Hotfix für CVE-2026-75650 und prüfen Sie, dass die gepatchte Version tatsächlich läuft — nicht nur heruntergeladen wurde.
3. Bei Exposition von Kompromittierung ausgehen. War der Shop zwischen dem 4. und 8. September erreichbar und ungepatcht, führen Sie eine Incident Response durch, statt mit dem Patch Entwarnung zu geben.
4. Alles rotieren. Ändern Sie Verschlüsselungsschlüssel, Admin-Passwörter, Datenbank-Zugangsdaten, Integrations-Tokens, SSH- und API-Schlüssel in den Quellsystemen.
5. Nach Persistenz suchen. Achten Sie auf unerwartete PHP-Dateien und Webshells, unbekannte Cron-Jobs, neue Admin-Konten und ausgehende Verbindungen zu unbekannten Hosts (das Erkennungsmerkmal der Rust-Backdoor).
6. Compliance-Pfad prüfen. Könnten Kunden- oder Zahlungsdaten erreicht worden sein, starten Sie Ihren PCI-DSS- und DSGVO-Meldeprozess und binden Sie Ihren Datenschutzbeauftragten ein, bevor die Frist die Entscheidung erzwingt.

Häufige Fragen

Quellen

Adobe — Security update available for Adobe Commerce (APSB26-52, CVE-2026-75650)
The Hacker News — Adobe Patches Magento Zero-Day Exploited to Deploy Rust Backdoor and PHP Web Shell (September 2026)
SecurityWeek — Adobe Patches Over 170 Vulnerabilities, Including Commerce Zero-Day (September 8, 2026)