StyleSmuggler: eine aktiv ausgenutzte Zero-Day-Lücke in Magento und Adobe Commerce

Aktualisierung (8. September 2026): Am 7. September 2026 hat Adobe einen offiziellen Fix für diese Lücke veröffentlicht – das Sicherheitsbulletin APSB26-146 mit der Kennung CVE-2026-75650. Der Fix ist der Hotfix VULN-39341; nach dem Einspielen verlangt Adobe, den Verschlüsselungsschlüssel und sämtliche Zugangsdaten zu rotieren, die damit verschlüsselt oder offengelegt worden sein könnten: Admin-Passwörter, Integrations- und API-Tokens, Schlüssel der Zahlungs-Gateways, Datenbank- und Serverzugänge. Adobe bestätigt, dass die Lücke in Angriffen auf Händler ausgenutzt wurde. Die vollständige Versionsliste und die Anleitung zum Einspielen finden Sie hier: Adobe-Hilfe – APSB26-146. Wenn Sie einen Magento- oder Adobe-Commerce-Shop betreiben, aktualisieren Sie ihn jetzt. Der Text unten beschreibt die Situation vor der Veröffentlichung des Fixes.

Wenn Sie einen Shop auf Magento oder Adobe Commerce betreiben, ist dieser Beitrag dringend. Seit dem 4. September 2026 laufen reale Angriffe, und zum Zeitpunkt der Veröffentlichung (7. September 2026) hat Adobe noch keinen offiziellen Fix bereitgestellt. Schlimmer noch: Der aktuelle Patch-Stand Ihres Shops schützt nicht vor dieser Lücke. Im Folgenden erklären wir, was passiert, wie Sie in wenigen Minuten prüfen, ob Ihr Server getroffen wurde, und was Sie jetzt tun sollten.

Was StyleSmuggler ist und wer betroffen ist

StyleSmuggler ist der Name für eine neue, kritische Lücke in Magento, die am 5. September 2026 vom Sansec Forensics Team offengelegt wurde. Ihre wichtigsten Merkmale:

Typ: nicht authentifizierte Remote Code Execution (RCE). Ein Angreifer braucht kein Konto im Shop, um den Server zu übernehmen.
Zero-Day: Zum Zeitpunkt der Offenlegung gab es weder eine offizielle CVE-Nummer noch einen Patch von Adobe.
Status: Die Lücke wird aktiv ausgenutzt. Die Angriffe dauern an, die ersten bestätigten Fälle wurden am 4. September 2026 gegen 22:20 UTC verzeichnet.

Am beunruhigendsten ist, dass ein aktueller Patch-Stand hier kein Schutz ist. Sansec hat die vollständige Angriffskette auf sauberen Installationen von 2.4.7, 2.4.8 und 2.4.9 bestätigt, und das erste bekannte Opfer war ein Shop auf 2.4.6-p15 mit dem kompletten Patch-Satz von Juli und August 2026 sowie einem sauberen bin/magento security:patch-status. Damit sind alle aktuell unterstützten Versionen von Magento Open Source und Adobe Commerce betroffen, egal wie sorgfältig sie gepatcht wurden.

Die Lücke verschont B2B-Shops nicht. Adobe Commerce mit dem B2B-Modul ist genauso verwundbar wie eine reine B2C-Installation, und dort steht mehr auf dem Spiel: Vertragspreise, Firmendaten, Großhandelsbestellungen und die Stellung in der Lieferkette.

Wie der Angriff funktioniert

Wir beschreiben den Mechanismus allgemein, ohne fertigen Code, damit dies Verteidigern hilft und nicht Angreifern. Der Angriff hat zwei Phasen und missbraucht eingebaute Magento-Funktionen:

Vergiftung. Der Angreifer schleust schädlichen PHP-Code an eine Stelle ein, die Magento selbst auf die Festplatte schreibt, etwa in Fehlerberichte oder Logs.
Ausführung. Anschließend zwingt er die Plattform, den vergifteten Code über das Template-System von Magento auszuführen, unter anderem mithilfe der Eigenschaft styles, der {{block}}-Direktiven und einer Objektkette, die mit dem Einbinden einer vom Angreifer bestimmten Datei endet.

Charakteristisch ist der E-Mail-Vektor. Der Angriff hängt oft mit dem Erzeugen von Nachrichten des Typs „Payment Transaction Failed Reminder” zusammen, und der schädliche Code läuft bereits beim Rendern einer solchen E-Mail. Niemand muss sie öffnen, und der Angriff kann selbst dann gelingen, wenn der Versand der Nachricht scheitert.

In den Zugriffs-Logs zeigen sich die Spuren meist als POST /graphql?styles[...]=-Anfragen sowie als Traffic auf Endpunkten rund um die PayPal Transparent Response und den Customer Section Load.

Was nach einem erfolgreichen Angriff passiert

Das Ergebnis ist die vollständige Kontrolle über den Server. Sansec beobachtet die Installation eines Implantats (einer Backdoor) in der Sprache Rust, das sich unter Systemprozessnamen wie [kworker/u:8:0] tarnt, in einer neueren Variante vom 6. September als fc-cache. Das Implantat sichert sich Persistenz über Cron-Einträge (zum Beispiel alle 5 Minuten oder zweimal pro Stunde) und kommuniziert mit einem Command-and-Control-Server unter anderem über WebSocket und als NTP getarnten Traffic auf Port 123.

Bislang gibt es keine öffentlichen Berichte über einen groß angelegten Einsatz dieser Backdoors für Folgeaktivitäten wie Karten-Skimming. Das ist ein schwacher Trost: Der Angreifer hat freie Hand auf dem Server und kann sich jederzeit für den nächsten Schritt entscheiden.

Wie Sie prüfen, ob Ihr Shop getroffen wurde

Die folgenden Befehle sind rein lesend, ändern nichts und lassen sich sofort ausführen. Führen Sie sie auf dem Server des Shops aus, und im Stammverzeichnis der Magento-Installation, wo eine Prüfung Projektdateien betrifft.

Verdächtige Prozesse, die sich als Kernel-Tasks tarnen:

ps -eo pid,user,rss,args --no-headers | awk '$4 ~ /^\[/ && $2 != "root"'

Cron-Einträge, die das Implantat hinterlässt:

crontab -l | grep -i gvfsd

Charakteristische Dateien und Verzeichnisse:

ls -la ~/.local/share/.gvfsd/ ~/.cache/fontconfig/fc-cache /tmp/.kw_* /tmp/.fc-* 2>/dev/null

Spuren von eingeschleustem PHP-Code in Berichten und Logs:

grep -ril 'x_trace_\|X_TRACE_\|<?php' var/report/ var/log/

Durchsuchen Sie zusätzlich Ihre Zugriffs-Logs nach den Zeichenfolgen styles[, styles%5B sowie nach Verweisen auf generatorClass oder cdnflare. Liefert eine dieser Prüfungen ein Ergebnis, behandeln Sie den Server als potenziell kompromittiert und gehen Sie zum Abschnitt über die Reaktion.

Was Sie jetzt tun sollten

Da Adobe noch keinen Patch ausgeliefert hat, stützt sich die Verteidigung auf vorübergehende Gegenmaßnahmen. Das nächste geplante Sicherheitsbulletin von Adobe fällt auf den 8. September 2026, doch es ist nicht sicher, ob es StyleSmuggler abdeckt. Bis ein offizieller Fix vorliegt, ist der Patch-Stand kein Maß für die Sicherheit.

Empfohlene vorbeugende Schritte:

Aktivieren Sie den Echtzeitschutz. Sansec Shield blockiert bekannte Varianten dieses Angriffs auf der Ebene des eingehenden Traffics.
Erwägen Sie, GraphQL vorübergehend zu deaktivieren, wenn Sie keine Web Application Firewall (WAF) vor dem Shop haben. Das ist Sansecs eigene Empfehlung, denn der Hauptvektor läuft über GraphQL.
Nutzen Sie den Scanner eComscan von Sansec, um Implantate zu erkennen.
Behandeln Sie Community-Patches mit Vorsicht. Es kursieren Notfall-Fixes (unter anderem von Disrex und graycore), die die DI-Scanner auf den CLI-only-Modus härten und nginx- oder Apache-Regeln ergänzen. Sie sind inoffiziell, sie entfernen eine bestehende Infektion nicht, und Sie sollten sie zuerst auf Staging testen.

Wenn Sie Anzeichen einer Kompromittierung gefunden haben, ist die Reihenfolge: Beweise sichern, die Malware und etwaige sekundäre Backdoors entfernen, alle Passwörter und Schlüssel wechseln (Admin-Panel, Datenbank, SSH, API) und danach ein vollständiges Audit sowie einen Wiederaufbau aus einem sauberen Backup von vor dem Angriff erwägen.

Es lohnt sich außerdem, den ausgehenden Mailverkehr genau zu beobachten. Warnsignale sind plötzliche Wellen von „Payment Transaction Failed”-Nachrichten sowie verdächtige E-Mails mit nicht aufgelösten {{var ...}}-Tags, Adressen in der Domain .invalid oder Fehlern bei der Inhaltserzeugung.

Ausgewählte Kompromittierungsindikatoren (IoC)

Prozesse und Dateien:

Prozesse [kworker/u:8:0] und fc-cache
~/.local/share/.gvfsd/gvfsd-user
~/.cache/fontconfig/fc-cache
/tmp/.kw_*, /tmp/.fc-*

Netzwerk:

247.cdnflare.xyz, 209.141.43.95
99.84.67.186:443, windwsecurity.run
ntp.timesync.to, ntp.synctime.to und ähnliche (UDP 123)
eine Angriffsquelle: 88.216.72.181

Ein Beispiel-Hash des Implantats:

e315687a1dfe61ef4a5a5642214db6d3b2b05d81391285eebc2af664641a26a7

Beachten Sie, dass sich die Indikatorenliste ständig verschiebt. Die Angreifer haben den Prozessnamen bereits einmal geändert und werden das weiter tun, daher ist ein fehlender Treffer auf der obigen Liste kein Beweis dafür, dass alles in Ordnung ist.

Warum das für B2B-Shops und Unternehmen mit PIM wichtig ist

StyleSmuggler ist eine deutliche Erinnerung daran, dass Plattformsicherheit keine Option, sondern das Fundament ist. Ein großer Katalog, ERP-Integrationen, eine komplexe Preispolitik und viele Nutzer schützen nicht vor RCE. Eher im Gegenteil: Je aufwendiger der B2B-Shop, desto mehr sensible Daten landen in den Händen eines Angreifers.

Auch für Unternehmen, die ihre Produktdaten in Ordnung bringen, steckt darin eine Lehre. Selbst das beste PIM-System hilft nicht, wenn die Verkaufsplattform übernommen wird. Konsistente Produktdaten und eine sichere Plattform sind zwei Säulen skalierbaren B2B, die sich nicht trennen lassen. Regelmäßige Updates, eine Web Application Firewall und die Überwachung der Prozesse auf dem Server sind heute die Grundlage, kein Zusatz.

Brauchen Sie Hilfe bei Update oder Audit Ihres Shops?

Wenn Sie nicht sicher sind, ob Ihr Shop sicher ist, oder wenn Sie die obigen Prüfungen und Gegenmaßnahmen mit jemandem durchgehen möchten, der das täglich tut, helfen wir Ihnen. Wir kümmern uns um Magento-Implementierungen und -Support. Schreiben Sie uns über das Kontaktformular, und wir klären gemeinsam, was zuerst anzugehen ist.

Quellen

Sansec, StyleSmuggler-Analyse: sansec.io/research/stylesmuggler
Offizieller Fix von Adobe, veröffentlicht am 7. September 2026: Bulletin APSB26-146 (CVE-2026-75650)

Dieser Artikel gibt den Stand vom 7. September 2026 wieder. Die Lage ändert sich schnell, daher aktualisieren Sie Magento nach Erscheinen eines offiziellen Patches so schnell wie möglich und prüfen Sie den Server anhand der oben genannten Indikatoren.