Ungepatchte Magento-Zero-Day-Lücke wird aktiv ausgenutzt, Adobe ohne Fix

Seit dem 4. September 2026 nutzen Angreifer eine ungepatchte Zero-Day-Schwachstelle in Magento Open Source und Adobe Commerce aus, um ohne jede Authentifizierung Backdoors auf Servern von Online-Shops zu installieren. Das niederländische E-Commerce-Sicherheitsunternehmen Sansec gab dies am Freitag bekannt.

Die Schwachstelle, von den Forschern StyleSmuggler genannt, ermöglicht unauthentifizierte Remote-Code-Ausführung — die gefährlichste Klasse von Web-Schwachstellen. Stand 6. September hat Adobe weder einen Patch noch eine CVE-Kennung oder eine Sicherheitsmeldung veröffentlicht. Sansec veröffentlichte seine Warnung vorzeitig, weil „Shops gerade jetzt kompromittiert werden.“

Alle aktuellen Versionen betroffen

Sansec reproduzierte die vollständige Exploit-Kette auf sauberen Installationen der Versionen 2.4.7, 2.4.8 und 2.4.9. Ein bestätigtes Opfer betrieb Version 2.4.6-p15 mit allen Sicherheits-Patches von Juli und August 2026 — auch vollständig gepatchte Shops sind gefährdet.

Angriffsmechanismus

StyleSmuggler arbeitet in zwei Phasen: Zuerst wird bösartiger PHP-Code in eine automatisch von Magento generierte Datei injiziert, dann wird er über eine Zahlungsfehlschlag-Erinnerungsmail ausgelöst. Da der Code serverseitig ausgeführt wird, muss kein Nutzer die E-Mail öffnen.

Sofortmaßnahmen

Sansec empfiehlt, GraphQL vorübergehend zu deaktivieren, bis Adobe einen Patch bereitstellt. Händler sollten Server-Logs prüfen und mit eComscan auf sekundäre Backdoors scannen.