Update: Adobe hat dringende Hotfixes für diese kritische Sicherheitslücke veröffentlicht. Sie wird unter CVE-2026-75650 (CVSS-Score von 10/10) geführt. Aikido bietet einen funktionierenden Fix für mehrere betroffene Versionen und überwacht die Situation weiter, bis Adobe ein offizielles Release herausbringt.
Ein neuer Zero-Day-Exploit namens StyleSmuggler ermöglicht unauthentifizierten Angreifern Remote Code Execution bei allen aktuellen Versionen von Magento Open Source und Adobe Commerce. Die Lücke wird bereits seit dem 4. September aktiv ausgenutzt. Sansec hat seine Forschungsergebnisse am 5. September veröffentlicht. Adobe hat bisher kein
Aikido Intel hat dies erkannt und als kritisch eingestuft, noch bevor Adobe eine CVE-Nummer zugewiesen hatte, und Aikido Libraries bietet bereits einen funktionierenden Fix für mehrere betroffene Versionen. Dieser Beitrag erläutert, wie der Exploit funktioniert, wer davon betroffen ist und wie Sie das Problem beheben – unabhängig davon, ob Sie bereits Aikido-Kunde sind oder nicht.
{{cta}}
Der Fix: Was Aikido bereitstellt
Aikido Libraries behebt Schwachstellen in Paketen, indem ein sicherer direkter Ersatz (Drop-in-Replacement) eingespielt wird. Dadurch muss der Shop kein Versions-Upgrade von Magento oder Adobe Commerce durchführen, und es ist kein neuer Regressionstest erforderlich. Es handelt sich um dieselbe Upgrade-Falle, über die wir bereits an anderer Stelle geschrieben haben, nur dass es hier keine neue Version gibt, auf die man upgraden könnte. Auf einer Plattform, auf der ein Versionssprung routinemäßig Erweiterungen und Anpassungen beschädigt, können Teams diesen Fix über das Wochenende einspielen, anstatt ein mehrwöchiges Projekt mit QA und Freigabe durch den Hersteller zu starten.
Aikido hat Patches für die folgenden Branches veröffentlicht:
- 2.3.1-p12007002+aikido
- 2.4.7-p1012007002+aikido
- 2.4.8-p512007002+aikido
Teams, die das anfällige Paket auf mehreren Sites verwenden, können den Fix gebündelt für alle Sites gleichzeitig ausrollen.
Der Patch bereinigt die Template-Styles, bevor Magentos Engine sie verarbeitet, und schließt genau den Pfad, den StyleSmuggler nutzt, um zur Direktiven- und Dependency-Injection-Verarbeitung der Plattform zu gelangen. Er wird je nach Version an zwei Punkten angewendet, passend zu den beiden Arten, wie der anfällige Code Styledaten verarbeitet. Legitimes CSS passiert den Filter unberührt.
Aikido Intel ist der Feed zur Bedrohungsaufklärung hinter dieser Erkennung. Er verfolgt aktive Exploits und Zero-Days beim Auftreten, noch bevor eine CVE zugewiesen wird, und hat diesen Fall für jedes betroffene Paket als kritisch eingestuft: AIKIDO-2026-248927 für Magento Open Source, AIKIDO-2026-123768 für Adobe Commerce und AIKIDO-2026-724507 für das Magento Cloud-Metapaket. Jeder Eintrag dokumentiert den Injektionspunkt und die Auslösebedingung, sodass Sie Ihre Exposition bestätigen können, ohne auf Adobe warten zu müssen.
Wenn Sie kein Aikido-Kunde sind, besteht die offizielle Schadensbegrenzung derzeit am ehesten darin, GraphQL vorübergehend zu deaktivieren, da dies der Einstiegspunkt ist, auf den der Exploit angewiesen ist. Das bedeutet einen spürbaren Kompromiss für Headless- oder PWA-Storefronts, die sofort offline gehen, sobald GraphQL blockiert wird, und selbst dann schützt dies nur vor dem aktuellen Angriffsmuster. Die zugrundeliegende Schwachstelle bleibt offen, bis Adobe einen echten Fix veröffentlicht.
Wie StyleSmuggler funktioniert
Der Exploit läuft in zwei Phasen ab, wobei in beiden Fällen bestehende Magento-Funktionen missbraucht werden.
Zunächst injiziert ein nicht authentifizierter Angreifer PHP über Style-Eigenschaften in einer GraphQL-Anfrage. Die Nutzlast (Payload) wird nicht sofort ausgeführt. Sie wird in eine Datei geschrieben, die Magento selbst generiert, wie etwa einen Fehlerbericht bei einem Checkout-Fehler. In der zweiten Phase wird die Nutzlast später ausgeführt, wenn Magento eine E-Mail zur Zahlungstransaktions-Fehlererinnerung („Payment Transaction Failed Reminder“) rendert. Die E-Mail muss dabei nicht zugestellt werden. Der Code läuft serverseitig beim Rendern des Templates, sodass der Angriff abgeschlossen wird, auch wenn die Nachricht nie einen Posteingang erreicht.
Bei bestätigten Einbrüchen wurde eine persistente, auf Rust basierende Backdoor installiert, die als Kernel-Thread getarnt ist. Sie übersteht einen Neustart und wartet dort auf Anweisungen, manchmal stundenlang, bevor sie überhaupt etwas unternimmt. Damit ist das Risiko identisch mit dem, was unauthentifizierte RCE auf einer E-Commerce-Plattform bedeutet: personenbezogene Kundendaten (PII), Details zu Zahlungstransaktionen, Administrator-Zugangsdaten, Datenbankinhalte sowie ein Einfallstor für Skimmer-Injektionen im Magecart-Stil gegen Shop-Besucher.
Wer davon betroffen ist
Jede aktuelle Version von Magento Open Source und Adobe Commerce ist anfällig, einschließlich 2.4.9. Sansec hat die gesamte Angriffskette auf sauberen Installationen von 2.4.7, 2.4.8 und 2.4.9 reproduziert. Ein bestätigtes Opfer nutzte 2.4.6-p15, bei dem die Sicherheitsupdates für Juli und August 2026 vollständig eingespielt waren. Der Patch-Status hat es nicht gerettet.
Wie Adobe dazu steht
Zum Zeitpunkt dieses Schreibens hat Adobe weder eine Warnmeldung veröffentlicht noch eine CVE-Kennung vergeben oder einen Patch beziehungsweise Workaround bereitgestellt. Das jüngste Sicherheitssbulletin für Commerce stammt nach wie vor vom 11. August. Das nächste planmäßige Sicherheits-Release ist für den 8. September angesetzt. Ob darin StyleSmuggler berücksichtigt wird, ist bislang unbekannt.
Was jetzt zu tun ist
- Überprüfen Sie Ihre Exposition anhand des Aikido Intel-Eintrags für Ihr Paket: AIKIDO-2026-248927 (Magento Open Source), AIKIDO-2026-123768 (Adobe Commerce) oder AIKIDO-2026-724507 (Magento Cloud-Metapaket).
- Wenden Sie den Fix von Aikido Libraries für Ihre Version an oder deaktivieren Sie GraphQL als Übergangslösung, falls Sie nicht sofort patchen können.
- Warten Sie nicht auf das Release von Adobe am 8. September. Es ist nicht bestätigt, dass dieses Problem darin behoben wird.
- Rotieren Sie Ihre Magento-Zugangsdaten, falls Sie Anzeichen einer Kompromittierung finden, da beobachtet wurde, dass die Backdoor vor ihrer Aktivierung inaktiv verharrt.
Wir werden diesen Beitrag aktualisieren, sobald Adobe weitere Hinweise veröffentlicht.
FAQ
Wird StyleSmuggler aktiv ausgenutzt? Ja. Sansec hat Angriffsdaten ab dem 4. September 2026 bestätigt – einen Tag vor der öffentlichen Bekanntgabe.
Muss ich angemeldet sein oder eine Session haben, damit meine Website gefährdet ist? Nein. StyleSmuggler ist nicht authentifiziert, d. h. Angreifer benötigen keine Zugangsdaten, keine Session und keine Benutzerinteraktion für die Ausnutzung.
Behebt ein Upgrade auf die neueste Magento-Version das Problem? Nein. Magento 2.4.9, das neueste Release, ist neben 2.4.7 und 2.4.8 erwiesenermaßen anfällig.
Gibt es einen Patch von Adobe? Bisher nicht. Zum Zeitpunkt dieses Schreibens hat Adobe weder eine CVE zugewiesen noch einen Patch veröffentlicht.
