Eine neue Zero-Day-Sicherheitslücke namens „StyleSmuggler“ ermöglicht es nicht authentifizierten Angreifern, Remote-Code auf allen aktuellen Versionen von Magento Open Source und Adobe Commerce auszuführen. Sie wird seit dem 4. September aktiv ausgenutzt. Sansec veröffentlichte seine Forschungsergebnisse am 5. September. Das jüngste Sicherheitsbulletin von Adobe zu Commerce stammt hingegen noch vom 11. August, und zum Zeitpunkt der Erstellung dieses Artikels gibt es noch keine Sicherheitsempfehlung, keine CVE-Kennung und keinen Patch vom Hersteller.
Aikido Intel hat dies aufgegriffen und als kritisch eingestuft, noch bevor Adobe eine CVE-Nummer vergeben hatte, und „Aikido Libraries“ verfügt bereits über einen funktionierenden Fix für mehrere betroffene Versionen. In diesem Beitrag wird erläutert, wie der Exploit funktioniert, wer davon betroffen ist und wie man das Problem beheben kann – unabhängig davon, ob Sie bereits Kunde von „ Aikido “ sind oder nicht.
{{cta}}
Die Lösung: Was „ Aikido “ mitbrachte
Aikido Libraries behebt Sicherheitslücken in Paketen, indem es diese durch einen sicheren, direkt einsetzbaren Ersatz ersetzt, sodass der Shop niemals ein Versions-Upgrade für Magento oder Adobe Commerce benötigt und keine neuen Regressionstests durchgeführt werden müssen. Es handelt sich um dieselbe Upgrade-Falle, über die wir bereits an anderer Stelle geschrieben haben, nur dass es hier keine neue Version gibt, auf die ein Upgrade durchgeführt werden müsste. Auf einer Plattform, auf der Versionssprünge regelmäßig zu Fehlern bei Erweiterungen und Anpassungen führen, können Teams diese Maßnahme an einem Wochenende umsetzen, anstatt ein mehrwöchiges Projekt mit Qualitätssicherung und Freigabe durch den Anbieter zu starten.
Aikido hat Patches für die folgenden Zweige veröffentlicht:
- 2.3.1-p12007002+Aikido
- 2.4.7-p1012007002+Aikido
- 2.4.8-p512007002+aikido
Teams, die das anfällige Paket an mehreren Standorten einsetzen, können den Patch auf allen Standorten gleichzeitig in einem Schritt bereitstellen.
Der Patch bereinigt die Vorlagenstile, bevor sie von der Magento-Engine verarbeitet werden, und schließt damit genau den Pfad, über den StyleSmuggler auf die Direktiven- und Dependency-Injection-Verarbeitung der Plattform zugreift. Je nach Version wird er an zwei Stellen angewendet, entsprechend den beiden Arten, wie der anfällige Code Stildaten verarbeitet. Legitimes CSS wird unverändert durchgelassen.
Aikido Intel ist der „ Bedrohungsaufklärung “-Feed, der hinter der Erkennung steht. Er verfolgt aktive Exploits und Zero-Day-Schwachstellen, sobald sie auftauchen – noch bevor ihnen eine CVE-Nummer zugewiesen wird – und hat diese Schwachstelle für alle betroffenen Pakete als kritisch eingestuft: AIKIDO-2026-248927 für Magento Open Source, AIKIDO-2026-123768 für Adobe Commerce und AIKIDO-2026-724507 für das Metapaket „Magento Cloud “. Jeder Eintrag dokumentiert den Injektionspunkt und die Auslösebedingung, sodass Sie die Sicherheitslücke überprüfen können, ohne auf Adobe warten zu müssen.
Wenn Sie kein Kunde von „ Aikido “ sind, besteht die derzeit beste Abhilfemaßnahme darin, GraphQL vorübergehend zu deaktivieren, da dies der Einstiegspunkt ist, auf den der Exploit abzielt. Das ist ein echter Kompromiss für jeden Headless- oder PWA-Storefront, der in dem Moment offline geht, sobald GraphQL blockiert wird – und selbst dann bietet dies nur Schutz vor dem aktuellen Angriffsmuster. Die zugrunde liegende Sicherheitslücke bleibt bestehen, bis Adobe einen echten Fix bereitstellt.
So funktioniert StyleSmuggler
Der Exploit läuft in zwei Phasen ab, wobei in beiden Phasen bereits in Magento vorhandene Funktionen ausgenutzt werden.
Zunächst schleust ein nicht authentifizierter Angreifer PHP über Stil-Eigenschaften in eine GraphQL-Anfrage ein. Die Payload wird nicht sofort ausgeführt. Sie wird in eine Datei geschrieben, die Magento selbst generiert, beispielsweise in einen Fehlerbericht, der bei einem Fehler während des Bezahlvorgangs erstellt wird. Zweitens wird die Payload später ausgeführt, wenn Magento eine E-Mail zur Erinnerung an eine fehlgeschlagene Zahlungstransaktion rendert. Die E-Mail muss nicht zugestellt werden. Der Code wird serverseitig während des Renderns der Vorlage ausgeführt, sodass der Angriff auch dann erfolgreich ist, wenn die Nachricht niemals im Posteingang ankommt.
Bei bestätigten Angriffen wurde eine persistente, auf Rust basierende Hintertür installiert, die als Kernel-Thread getarnt ist. Sie überdauert einen Neustart und wartet dort auf Anweisungen – manchmal stundenlang, bevor sie überhaupt etwas unternimmt. Von da an umfasst die Gefährdung alles, was ein nicht authentifizierter RCE-Angriff auf einer E-Commerce-Plattform mit sich bringt: personenbezogene Daten von Kunden, Details zu Zahlungsvorgängen, Administratorzugangsdaten, Datenbankinhalte sowie einen Weg für Skimmer-Injektionen im Magecart-Stil gegen Käufer.
Wen dies betrifft
Jede aktuelle Version von Magento Open Source und Adobe Commerce ist anfällig, einschließlich 2.4.9. Sansec konnte die gesamte Angriffskette auf sauberen Installationen der Versionen 2.4.7, 2.4.8 und 2.4.9 reproduzieren. Ein bestätigtes Opfer betrieb die Version 2.4.6-p15, auf der die Sicherheitspatches vom Juli und August 2026 vollständig installiert waren. Der Patch-Status hat das System nicht schützen können.
Wo Adobe steht
Zum Zeitpunkt der Erstellung dieses Artikels hat Adobe weder eine Sicherheitswarnung veröffentlicht noch eine CVE-Kennung vergeben oder einen Patch bzw. eine Abhilfe bereitgestellt, und das letzte Sicherheitsbulletin zu Commerce stammt noch vom 11. August. Die nächste geplante Sicherheitsveröffentlichung ist für den 8. September vorgesehen. Ob diese auch StyleSmuggler abdeckt, ist noch unbekannt.
Was Sie jetzt tun sollten
- Überprüfen Sie, ob Ihr Paket von der Sicherheitslücke betroffen ist, indem Sie den entsprechenden Eintrag im „ Aikido “ nachschlagen: AIKIDO-2026-248927 (Magento Open Source), AIKIDO-2026-123768 (Adobe Commerce) oder AIKIDO-2026-724507 (Magento-Metapaket „ Cloud “).
- Wenden Sie den „ Aikido -Libraries“-Fix für Ihre Version an oder deaktivieren Sie GraphQL als vorübergehende Maßnahme, falls Sie den Patch nicht sofort installieren können.
- Warten Sie nicht auf das Update von Adobe am 8. September. Es ist nicht sicher, ob dieses Problem damit behoben wird.
- Ändern Sie die Magento-Anmeldedaten, sobald Sie Anzeichen für eine Kompromittierung feststellen, da die Hintertür bereits in einem ruhenden Zustand beobachtet wurde, bevor sie aktiv wurde.
Wir werden diesen Beitrag aktualisieren, sobald Adobe weitere Hinweise veröffentlicht.
FAQ
Wird StyleSmuggler derzeit aktiv ausgenutzt? Ja. Sansec hat Angriffsverkehr ab dem 4. September 2026 bestätigt, einen Tag vor der öffentlichen Bekanntgabe.
Muss ich angemeldet sein oder eine Sitzung offen haben, damit meine Website gefährdet ist? Nein. StyleSmuggler ist nicht authentifiziert, was bedeutet, dass Angreifer keine Anmeldedaten, keine Sitzung und keine Benutzerinteraktion benötigen, um die Schwachstelle auszunutzen.
Wird dieses Problem durch ein Upgrade auf die neueste Magento-Version behoben? Nein. Magento 2.4.9, die neueste Version, ist ebenso wie die Versionen 2.4.7 und 2.4.8 nachweislich anfällig.
Gibt es einen Patch von Adobe? Noch nicht. Zum Zeitpunkt der Erstellung dieses Artikels hat Adobe noch keine CVE-Nummer vergeben und auch noch keinen Patch veröffentlicht.
