Magento-Patch für aktiv ausgenutzte Sicherheitslücke veröffentlicht

Adobe hat einen Notfall-Sicherheitspatch für Magento und Adobe Commerce veröffentlicht, nachdem bestätigt wurde, dass Angreifer eine kritische Sicherheitslücke aktiv ausnutzen. Die Sicherheitslücke, die als CVE-2026-75650 verfolgt wird, hat den maximalen CVSS-Score von 10.0, die höchste mögliche Bewertung auf einer weit verbreiteten Skala zur Risikomessung. Das Problem ist ein Zero-Day, da aktive Angriffe begannen, bevor der Anbieter am Montag einen Fix veröffentlichte. Das niederländische E-Commerce-Sicherheitsunternehmen Sansec, das das Problem StyleSmuggler nannte, gab an, die Zero-Day-Ausnutzung erstmals am 4. September 2026 beobachtet zu haben.

Die Sicherheitslücke missbraucht das Vorlagensystem von Magento durch PHP-Code-Injection. Einfach ausgedrückt injiziert ein Angreifer bösartige PHP-Befehle in den Teil des Shops, der eine E-Mail zur Benachrichtigung über fehlgeschlagene Zahlungen erstellt. Wenn der Shop diese E-Mail-Vorlage verarbeitet, wird der injizierte Code ausgeführt, wodurch der Angreifer Befehle ausführen kann, ohne eine gültige Anmeldung zu benötigen. Adobe bestätigte, dass das Update eine kritische Sicherheitslücke behebt, die zu beliebiger Codeausführung führen könnte, und dass bekannt ist, dass die Sicherheitslücke in freier Wildbahn ausgenutzt wurde, um Adobe-Commerce-Händler anzugreifen. In der Praxis bedeutet beliebige Codeausführung, dass ein Angreifer jeden Befehl ausführen kann, einschließlich Lesen von Dateien, Ändern von Shop-Daten oder Installieren anderer Malware.

Adobe gab an, dass die Sicherheitslücke die folgenden Versionen betrifft: Adobe Commerce 2.4.9-2026-aug und früher, 2.4.8-2026-aug und früher, 2.4.7-2026-aug und früher, 2.4.6-2026-aug und früher, 2.4.5-2026-aug und früher und 2.4.4-2026-aug und früher; Adobe Commerce B2B 1.5.3-2026-aug und früher, 1.5.2-2026-aug und früher, 1.4.2-2026-aug und früher, 1.3.4-2026-aug und früher und 1.3.3-2026-aug und früher; und Magento Open Source 2.4.9-2026-aug und früher, 2.4.8-2026-aug und früher, 2.4.7-2026-aug und früher und 2.4.6-2026-aug und früher. Adobe hat einen Hotfix veröffentlicht, der von repo.magento.com/patch/VULN-39341-composer-patches.zip heruntergeladen werden kann. Das Unternehmen erklärte, dass Händler den VULN-39341-Patch für ihre Version anwenden und ihre Verschlüsselungsschlüssel rotieren müssen, die geheimen Werte, die zum Schutz sensibler Daten verwendet werden.

Sansec berichtete, dass Angreifer CVE-2026-75650 nutzen, um eine Rust-basierte Linux-Backdoor einzusetzen. Eine Backdoor ist ein versteckter Weg für einen Angreifer, später wieder Zugang zu erhalten. Diese spezielle Backdoor verbindet sich mit einem externen Server und wartet auf weitere Anweisungen. Getrennt davon wurde die Sicherheitslücke missbraucht, um einen PHP-Dropper zu liefern, der eine Web-Shell auf anfälligen Websites schreibt. Eine Web-Shell ist eine Datei, die auf einer Website platziert wird und es einem Angreifer ermöglicht, PHP-Befehle über eine Webseite auszuführen, was effektiv die volle Kontrolle über den Server gibt. Das in den Niederlanden ansässige Unternehmen Disrex sagte, dass ein Magento-Server, den es überwachte, etwa 50 Minuten nach dem ersten bestätigten StyleSmuggler-Exploit am 4. September 2026 um 22:20 Uhr UTC kompromittiert wurde. Disrex beschrieb den Angriff als Umwandlung von Magentos eigener Vorlagenverarbeitungs- und Dependency-Injection-Code in eine nicht authentifizierte Remote-Codeausführungskette, was bedeutet, dass keine Anmeldung erforderlich ist. Dies zeigt, wie schnell ein nicht gepatchter Shop nach einem öffentlichen Bericht angegriffen werden kann.

Previdian, eine weitere Sicherheitsfirma, verzeichnete seit dem 7. September 2026 12 Exploit-Versuche gegen seine Honeypots. Ein Honeypot ist ein Ködersystem, das eingerichtet wurde, um Angriffe zu beobachten. Die Versuche stammten von zwei eindeutigen IP-Adressen in China und Rumänien, waren jedoch erfolglos, so Ryan Dewhurst, Gründer und CEO von Previdian.

Für Website-Besitzer und IT-Teams ist die Botschaft dringend: Ein nicht gepatchter Magento- oder Adobe-Commerce-Shop kann innerhalb einer Stunde übernommen werden. Das Anwenden des Hotfixes und das Rotieren der Verschlüsselungsschlüssel sollten heute der erste Schritt sein. Händler, die Hilfe bei der Koordination dringender Patches und der Überprüfung der Sicherheitslage ihres Shops benötigen, können sich an AEU-I, den sicherheitsorientierten IT- und Beratungsdienst von AEU, wenden, um Unterstützung bei Patch-Management und Sicherheitsüberprüfung zu erhalten.