Adobe Commerce Magento RCE Schwachstelle im Angriff

Eine Adobe Commerce Magento RCE Schwachstelle mit dem Namen StyleSmuggler ermöglichte es Angreifern, mindestens fünf Tage lang Rust-basierte Linux-Backdoors auf laufenden Webshops zu platzieren, bevor Adobe einen Patch veröffentlichte. Die als CVE-2026-75650 erfasste Lücke erreicht den maximalen CVSS-Wert von 10.0, erfordert keine Authentifizierung und wurde bereits gegen echte Händler-Systeme eingesetzt — nicht nur in Proof-of-Concept-Demonstrationen.

Was ist passiert

Diese Adobe Commerce Magento RCE Schwachstelle wurde vom Sicherheitsunternehmen Sansec entdeckt, das feststellte, dass Angreifer CVE-2026-75650 bereits seit mindestens 4. September 2026 ausnutzen — drei bis vier Tage, bevor Adobes Patch existierte. Die Schwachstelle missbraucht Magentos eigene Template-Engine: Eine präparierte Eingabe wird in eine routinemäßige „Payment Transaction Failed Reminder“-E-Mail gerendert und führt dabei beliebigen PHP-Code aus — ohne Login, ohne Zugriff auf das Admin-Panel und ohne Nutzerinteraktion. Betroffen sind Adobe Commerce, Adobe Commerce B2B und Magento Open Source in allen Versionen von 2.4.4 bis einschließlich 2.4.9.

Nach dem erfolgreichen Zugriff installierten Angreifer eine in Rust geschriebene Linux-Backdoor, deren Command-and-Control-Verkehr als gewöhnlicher Network-Time-Protocol-Verkehr (NTP) getarnt ist — ein Detail, das gezielt darauf ausgelegt ist, sich in normalen Server-Traffic einzufügen und Netzwerküberwachung zu umgehen, die auf HTTP/HTTPS-Anomalien ausgerichtet ist. Zusätzlich wurden PHP-Webshells für einfacheren Folgezugriff platziert. Adobe veröffentlichte am 7./8. September 2026 den Hotfix VULN-39341 als Composer-Patch auf repo.magento.com; CISA nahm die Schwachstelle am 8. September in ihren Known-Exploited-Vulnerabilities-Katalog auf.

Warum das wichtig ist

Adobes eigene Empfehlung rät Händlern, ihren Verschlüsselungsschlüssel und alle damit geschützten Zugangsdaten zu rotieren — nicht nur den Patch einzuspielen. Das ist ein klares Signal des Herstellers, dass Patchen allein einen Angreifer, der während des fünftägigen Ausnutzungsfensters bereits eingedrungen ist, nicht zwangsläufig entfernt. Magento und Adobe Commerce gehören zu den am weitesten verbreiteten selbst gehosteten Webshop-Plattformen bei deutschen und österreichischen Mittelstandshändlern und B2B-Herstellern mit eigenem Online-Shop — ein Segment, das in Warnungen zu Edge-Geräten oder ERP-Systemen selten vorkommt, aber demselben Risiko ausgesetzt ist: Kundenzahlungsdaten, Bestellhistorie und gespeicherte Zugangsdaten liegen alle hinter dieser Template-Engine.

Was Sie jetzt tun sollten

1. Spielen Sie Adobes Hotfix VULN-39341 sofort über Composer von repo.magento.com ein — auch wenn der Shop „unauffällig“ wirkt.
2. Prüfen: Kontrollieren Sie, ob Ihre Magento-/Adobe-Commerce-Version im betroffenen Bereich liegt (2.4.4 bis 2.4.9) und ob der Hotfix tatsächlich installiert ist, nicht nur geplant.
3. Rotieren Sie den Magento-Verschlüsselungsschlüssel sowie alle damit geschützten Zugangsdaten (Payment-Gateway-Schlüssel, Integrations-Tokens, Admin-Passwörter) — das ist Adobes eigene Empfehlung, keine zusätzliche Vorsichtsmaßnahme von DIESEC.
4. Überwachen Sie auf NTP-getarnten Backdoor-Verkehr (unerwarteter ausgehender UDP-123-Verkehr) und suchen Sie nach unerwarteten PHP-Dateien in Template- und Media-Verzeichnissen.

DIESEC Einschätzung

Das Muster ist aus anderen Vorfällen des Jahres 2026 rund um selbst gehostete Plattformen bekannt: Eine alltägliche Funktion — hier eine Zahlungsfehler-Erinnerungs-E-Mail — wird zum Einfallstor, weil die zugrunde liegende Template-Engine Eingaben vertraute, denen sie nicht hätte vertrauen dürfen. Die vom Hersteller empfohlene Schlüsselrotation nach dem Patchen ist ein deutliches Signal, dass „gepatcht“ und „sauber“ nicht dasselbe sind — eine Verwechslung, die wir bei Mittelstands-Webshop-Betreibern häufiger sehen als bei Enterprise-IT-Teams.

Nicht sicher, ob Ihre Magento- oder Adobe-Commerce-Installation noch exponiert ist, oder ob ein Angreifer bereits während des Ausnutzungsfensters eingedrungen ist? Kontaktieren Sie DIESEC für eine schnelle Patch-Verifizierung und Kompromittierungs-Analyse.

Quellen: Sansec | The Hacker News
Veröffentlicht: 2026-09-10 | Kategorie: Tägliche News | ~4 Min. Lesezeit