StyleSmuggler: Kritische Magento-Lücke CVE-2026-75650 wird aktiv angegriffen
Sansec hat mit StyleSmuggler eine unauthentifizierte Remote-Code-Execution-Lücke in Adobe Commerce und Magento Open Source aufgedeckt. Angreifer schmuggeln PHP-Code über das Template-System und die styles properties ein und führen ihn über eine fehlgeschlagene Zahlungs-E-Mail aus. Angriffe laufen seit dem 4. September 2026, der Hotfix zu CVE-2026-75650 mit CVSS 10.0 kam am 7. September 2026. Betroffen sind 2.4.4 bis 2.4.9 sowie Adobe Commerce B2B 1.3.3 bis 1.5.3.
Sansec hat mit StyleSmuggler eine kritische Sicherheitslücke in Adobe Commerce und Magento Open Source aufgedeckt, die unauthentifizierte Angreifer ohne Login zur vollständigen Codeausführung auf dem Server nutzen können. Betroffen sind Adobe Commerce und Magento Open Source in den Versionen 2.4.4 bis 2.4.9 sowie Adobe Commerce B2B in den Versionen 1.3.3 bis 1.5.3. Der Angriffspfad läuft über das Magento Template-System und die styles properties und funktioniert zweistufig: Zunächst schmuggeln Angreifer PHP-Code in das System, etwa über einen manipulierten Failure Report, danach wird dieser Code über eine fehlgeschlagene Zahlungs-E-Mail tatsächlich ausgeführt. Damit ist kein Adminzugang und kein gültiges Kundenkonto nötig, die Lücke lässt sich vollständig von außen ausnutzen.
Sansec beobachtet aktive Angriffe seit dem 4. September 2026, Adobe hat am 7. September 2026 mit dem Hotfix zu APSB26-146 reagiert. Die Schwachstelle trägt die Kennung CVE-2026-75650, einen CVSS-Wert von 10.0 und ist von Adobe mit Priority 1 eingestuft, der höchsten Dringlichkeitsstufe. Gesichert ist: Der Exploit-Chain wurde von Sansec auf 2.4.7, 2.4.8 und 2.4.9 reproduziert, betroffene Systeme laufen teils bereits auf 2.4.6-p15 trotz vorheriger Patches aus Juli und August 2026. Unsicher ist derzeit noch der vollständige Umfang der Kampagne sowie eine abschließende Liste aller Kompromittierungsindikatoren, diese Informationen entwickeln sich laut Sansec weiter. Wer Adobe Commerce oder Magento Open Source betreibt, sollte den Patchstand seiner Installation noch heute prüfen, nicht erst im nächsten Wartungsfenster.
Was ist passiert?
Sansec hat die Angriffskette unter dem Namen StyleSmuggler öffentlich gemacht. Der Kern der Schwachstelle liegt im Magento Template-Rendering, konkret in der Verarbeitung der styles properties. Angreifer nutzen einen zweistufigen Mechanismus: Im ersten Schritt wird schädlicher PHP-Code in das System eingeschleust, unter anderem über einen manipulierten Failure Report. Im zweiten Schritt wird dieser Code beim Versand einer fehlgeschlagenen Zahlungs-E-Mail tatsächlich ausgeführt. Da beide Schritte ohne Authentifizierung funktionieren, entsteht eine vollständige Remote Code Execution direkt aus dem öffentlichen Checkout-Prozess heraus.
Sansec ordnet die Angriffe seit dem 4. September 2026 als aktiv laufend ein. Adobe hat drei Tage später, am 7. September 2026, einen Hotfix veröffentlicht und die Lücke unter APSB26-146 dokumentiert.
Wer ist betroffen?
Betroffen sind konkret folgende Produktlinien:
- Adobe Commerce, Versionen 2.4.4 bis 2.4.9
- Magento Open Source, Versionen 2.4.4 bis 2.4.9
- Adobe Commerce B2B, Versionen 1.3.3 bis 1.5.3
Nicht ausreichend geschützt sind laut Sansec auch Installationen, die bereits die Juli und August 2026 Patches eingespielt haben. Ein bei Sansec dokumentiertes Opfersystem lief zum Zeitpunkt des Angriffs auf 2.4.6-p15, also mit vermeintlich aktuellem Patchstand. Wichtig für die Einordnung: Die Art der Session-Speicherung schützt nicht vor der Lücke. Ob Sessions in Redis oder in der Datenbank abgelegt werden, ändert nichts am Angriffspfad über das Template-System, da der Fehler in der Verarbeitungslogik selbst liegt und nicht im Speicherort der Session-Daten.
Wie kritisch ist das?
Adobe bewertet CVE-2026-75650 mit einem CVSS-Wert von 10.0, dem höchstmöglichen Wert der Skala, und stuft die Lücke als Priority 1 ein, die dringlichste Kategorie in Adobes eigenem Bewertungsschema. Diese Einstufung ist gerechtfertigt, weil die Ausnutzung ohne Authentifizierung, ohne Nutzerinteraktion und über einen öffentlich erreichbaren Prozess erfolgt, den Checkout mit fehlgeschlagener Zahlung. Die Kombination aus unauthentifizierter Erreichbarkeit und vollständiger Codeausführung macht StyleSmuggler zu einer der kritischsten Magento-Schwachstellen der letzten Jahre.
Folgende Tabelle fasst die wichtigsten Eckdaten zusammen:
| Merkmal | Angabe |
|---|---|
| Bezeichnung | StyleSmuggler |
| CVE | CVE-2026-75650 |
| Advisory | APSB26-146 |
| CVSS | 10.0 |
| Priorität | Priority 1 |
| Betroffen | Adobe Commerce / Magento Open Source 2.4.4 bis 2.4.9, Adobe Commerce B2B 1.3.3 bis 1.5.3 |
| Angriffe seit | 4. September 2026 |
| Hotfix | 7. September 2026 |
| Authentifizierung nötig | Nein |
| Entdecker | Sansec |
Was sollten Admins jetzt tun?
Folgende Schritte sollten Admins von Adobe Commerce und Magento Open Source Installationen jetzt in dieser Reihenfolge durchgehen:
- Zuerst die eigene Magento- und Adobe Commerce Version sowie den Patchstand konkret feststellen, unabhängig davon wie aktuell die letzte Wartung erschien.
- Den Hotfix VULN-39341-composer-patches.zip über repo.magento.com beziehen und einspielen.
- Den Patchstatus mit dem Befehl
vendor/bin/magento-patches -n statusprüfen und dokumentieren. - Nicht davon ausgehen, dass Juli- oder August-Patches bereits ausreichenden Schutz bieten, da Sansec Opfer trotz dieser Patches dokumentiert hat.
- Nach erfolgreichem Patch sofort den Verschlüsselungsschlüssel der Installation rotieren.
- Alle Adminpasswörter zurücksetzen.
- REST-, SOAP- und GraphQL-Tokens neu ausstellen.
- OAuth-Secrets erneuern.
- Payment-API-Credentials bei den jeweiligen Zahlungsanbietern rotieren.
- Datenbankzugangsdaten ändern.
- SSH- und Deploy-Keys austauschen.
- Extension-Keys neu generieren lassen.
- Logs auf verdächtige Failure Reports und ungewöhnliche fehlgeschlagene Zahlungsvorgänge im Zeitraum ab dem 4. September 2026 durchsuchen.
- Die Art der Session-Speicherung, ob Redis oder Datenbank, nicht als Schutzmaßnahme werten, da sie die Lücke nicht adressiert.
Die Rotation der Zugangsdaten ist kein optionaler Schritt nach dem Patch, sondern zwingend, da bereits vor dem Hotfix ausgenutzte Systeme davon ausgehen müssen, dass Angreifer Zugriff auf Schlüssel und Zugangsdaten erlangt haben.
Einordnung für Unternehmen
Für kleine und mittlere Unternehmen mit eigenem Onlineshop auf Basis von Adobe Commerce oder Magento Open Source ist StyleSmuggler ein Fall für sofortiges Handeln, nicht für das nächste geplante Wartungsfenster. Die Lücke betrifft den Kernprozess jedes Shops, den Checkout, und ist ohne jede Authentifizierung ausnutzbar. Unternehmen, die den Shopbetrieb an einen Dienstleister oder eine Agentur ausgelagert haben, sollten aktiv nachfragen, ob der Hotfix bereits eingespielt wurde und ob eine Rotation der Zugangsdaten stattgefunden hat. Wer eigene Kundendaten, Zahlungsdaten oder Adminzugänge über die Plattform verwaltet, muss von einer möglichen Kompromittierung ausgehen, solange kein Patch und keine Rotation der Zugangsdaten erfolgt sind. Da der vollständige Umfang der Angriffe laut Sansec noch nicht abschließend geklärt ist, ist eine vorsichtige, aber schnelle Reaktion angemessener als Abwarten auf weitere Informationen.
Passende Anleitungen auf S-EDV
- WordPress Funnel Builder: aktive Angriffe und Skimming Ein weiterer Fall aktiv ausgenutzter E-Commerce-Schwachstellen mit ähnlichem Angriffsmuster über Checkout-nahe Funktionen.
- Adobe Commerce CVE-2026-71362: Angriffe auf Kundenkonten und Patch Frühere kritische Adobe Commerce Schwachstelle mit vergleichbarer Dringlichkeit und Patchpflicht.
