Eine mit dem Höchstwert CVSS 10.0 bewertete Sicherheitslücke in Adobe Commerce und Magento Open Source wird seit Anfang September aktiv ausgenutzt. Die als „StyleSmuggler“ getaufte Schwachstelle CVE-2026-75650 erlaubt es unauthentifizierten Angreifern, aus der Ferne beliebigen Code auf betroffenen Shop-Servern auszuführen.
Fehler im eigenen Template-System
Die Lücke steckt in Magentos Vorlagen-Engine. Über eine per GraphQL erreichbare Schnittstelle schleusen Angreifer PHP-Code in „styles“-Eigenschaften ein. Ausgeführt wird dieser Code, sobald der Shop die automatische E-Mail „Payment Transaction Failed Reminder“ rendert – ganz ohne Anmeldung oder Zutun eines Nutzers. Betroffen sind Adobe Commerce 2.4.4 bis 2.4.9 sowie Magento Open Source 2.4.6 bis 2.4.9.
Ausnutzung als Zero-Day
Die niederländische Sicherheitsfirma Sansec entdeckte erste Angriffe bereits am 4. September – drei Tage vor Adobes Notfall-Patch. Die Angreifer installierten unter anderem eine in Rust geschriebene Linux-Backdoor sowie eine PHP-Webshell. Der Dienst CrowdSec zählte seit dem 9. September rund 500 verschiedene IP-Adressen, die passende Anfragen absetzen. Die US-Behörde CISA nahm die Lücke am 8. September in ihren Katalog aktiv ausgenutzter Schwachstellen auf.
Was Betreiber jetzt tun sollten
Adobe stellt mit dem Sicherheits-Bulletin APSB26-146 den Hotfix „VULN-39341“ bereit. Shop-Betreiber sollten ihn umgehend einspielen und ihre Systeme zusätzlich auf Kompromittierung prüfen: Das reine Patchen entfernt bereits eingerichtete Hintertüren nicht. Wer die betroffenen Versionen selbst hostet, sollte den GraphQL-Endpunkt und ungewöhnliche E-Mail-Vorlagen besonders im Blick behalten.
Quelle: The Hacker News – Adobe Patches Magento Zero-Day (CVE-2026-75650)
