Noch ein kleiner Nachtrag von letzter Woche: Betreiber eines Shops mit Magento oder Adobe Commerce stehen im Risiko. Zum 4. September 2026 ist bekannt geworden, dass Instanzen von Magento- und Adobe Commerce-Instanzen aktiv angegriffen werden. Es wurde eine "StyleSmuggler" genannte 0-Day RCE-Schwachstelle gefunden.
Was sind Magento / Adobe Commerce?
Kurz zur Einordnung: Magento ist eine Onlineshop-Software und wurde in der Version 1.0 erstmals am 31. März 2008 als Open-Source-E-Commerce-Plattform veröffentlicht. Entwickelt wird Magento von einer gleichnamigen Gruppe unter Zuhilfenahme des Zend Frameworks. Seit 2018 wurde Magento von der Adobe Inc. übernommen, die die Open Source-Software Magento sowie die kommerzielle Version Adobe Commerce anbietet.
Ein Hinweis im Internet
Mir ist der Sachverhalt zum Wochenende auf X untergekommen – nachfolgender Tweet greift dies auf. Das Thread Research-Team von Sansec ist auf die "StyleSmuggler" genannte 0-Day RCE-Schwachstelle in Magento und Adobe Commerce gestoßen.
StyleSmuggler schleust bösartigen Code in das Template-System von Magento ein. Durch die Nutzung der "styles"-Eigenschaften kann es bestehende Sicherheitsvorkehrungen umgehen. Der Angriff erfolgt in zwei Schritten:
- Einfügen (Manipulieren) von PHP-Code, beispielsweise durch die Generierung eines Fehlerberichts.
- Magento dazu bringen, den manipulierten Code über eine E-Mail zu einer fehlgeschlagenen Zahlung auszuführen.
Dieser 0-day wird seit dem 4. September 2026 bei Angriffen auf Instanzen von Magento und Adobe Commerce aktiv ausgenutzt. Die Angriffe wurden auf Installationen der Versionen 2.4.7, 2.4.8 und 2.4.9 bestätigt. Sansec hat die Erkenntnisse und Gegenmaßnahmen im Beitrag StyleSmuggler: Magento and Adobe Commerce 0-day RCE under active attack dokumentiert.
Hinweis eines Blog-Lesers
Zum 6. September 2026 hat mich Blog-Leser Jörg G. per Mail kontaktiert. Er betreibt wohl Instanzen der oben genannten Software und wurde vom spezialisierten Magento-Hoster Maxcluster kontaktiert bereits entsprechende Hinweise sowie Maßnahmen gegen den 0-Day erhalten. Dort wurde der Leser über die bislang ungepatchte Sicherheitslücke in Magento 2 und Adobe Commerce informiert, die seit dem 04.09.2026 aktiv ausgenutzt wird. Die Schwachstelle mit dem Namen "StyleSmuggler" erlaubt es Angreifern, ohne vorherige Anmeldung Schadcode auf dem Server auszuführen, heißt es. Betroffen sind nach aktuellem Kenntnisstand alle Magento-Versionen – einschließlich der aktuellen Version 2.4.9 sowie vollständig gepatchter Installationen, schrieb der Hoster in seiner Information.
Der Hoster Maxcluster hat unmittelbar nach Bekanntwerden der Lücke alle von ihm betreuten Magento-Installationen überprüft und dabei die laufenden Prozesse, die Crontab sowie die zum Angriff bekannten Dateien kontrolliert. Auf dem Cluster des Lesers wurden keine Hinweise auf eine Kompromittierung gefunden. Der Hoster hat für seine Kunden folgende Maßnahmen vorgenommen.
- Sperrung der Angreifer-Infrastruktur: Zwei IP-Adressen und eine Domain, die den Angreifern zugeordnet werden konnten, wurden auf allen Clustern gesperrt.
- Blockierung der Angriffswege: Die aktiv ausgenutzten Routen /paypal/transparent/response/ sowie Anfragen an /graphql mit dem bekannten Angriffsmuster werden auf PHP-Ebene blockiert.
- Erweiterung unserer Endpoint Security: Der Endpoint-Security-Schutz wurde vom Hoster um die Erkennung dieses Angriffs erweitert.
Wer selbst einen Magento-Shop hostet, sollte dringend reagieren und die im Beitrag StyleSmuggler: Magento and Adobe Commerce 0-day RCE under active attack beschriebenen Maßnahmen (Scan auf Kompromittierung, härten der Instanz durch Deaktivierung von Graphql) durchführen. Der Beitrag hier enthält ebenfalls noch einige Informationen.
MVP: 2013 – 2016
