Kritische Sicherheitslücke: Magento- und Adobe-Commerce-Shops JETZT patchen

Adobe hat am 7. September 2026 den Sicherheitshinweis APSB26-146 mit der höchsten Prioritätsstufe (Priority 1) veröffentlicht. Er schließt eine kritische Lücke, die inzwischen als CVE-2026-75650 geführt wird und von Adobe selbst mit einem CVSS Base Score von 10.0 bewertet wurde – dem Maximalwert der Skala. Adobe bestätigt zudem ausdrücklich, dass die Lücke bereits aktiv ausgenutzt wird.

Entdeckt wurde die Schwachstelle vom niederländischen E-Commerce-Sicherheitsunternehmen Sansec, das sie unter dem Namen „StyleSmuggler" veröffentlichte. Sansec beobachtete erste Angriffe bereits ab dem 4. September 2026.

Ein CVSS-Wert von 10.0 kommt nicht oft vor, und er bedeutet in diesem Fall:

• Keine Authentifizierung nötig – Angreifer benötigen keinerlei Zugangsdaten, um den Shop zu übernehmen.
• Keine Nutzerinteraktion erforderlich – niemand muss eine E-Mail öffnen oder auf einen Link klicken.
• Vollständige Remote Code Execution (RCE) – Angreifer können beliebigen Code auf dem Server ausführen.

Technisch schleust StyleSmuggler bösartigen PHP-Code über die Style-Eigenschaften des Magento-Template-Systems ein und umgeht damit bestehende Schutzmechanismen. Der Angriff läuft in zwei Schritten ab: Zunächst wird der schädliche Code eingeschleust, zum Beispiel über einen generierten Fehlerbericht. Anschließend führt Magento diesen Code aus, sobald eine E-Mail zu einer fehlgeschlagenen Zahlung generiert wird – und das völlig automatisch, ohne dass irgendjemand aktiv etwas tun muss.

Besonders alarmierend: Sansec konnte die vollständige Angriffskette auf sauberen, vollständig gepatchten Installationen der Versionen 2.4.7, 2.4.8 und 2.4.9 reproduzieren. Das erste bekannte kompromittierte Opfer lief sogar auf einer Version mit allen Juli- und August-2026-Patches. Regelmäßiges Patchen allein hätte diesen Angriff also nicht verhindert – nur das gezielte Einspielen des neuen Hotfixes hilft.

Praktisch jede aktuell unterstützte Version:

• Adobe Commerce: 2.4.4 bis 2.4.9
• Magento Open Source: 2.4.4 bis 2.4.9
• Adobe Commerce B2B: 1.3.3 bis 1.5.3

Das betrifft schätzungsweise über 100.000 aktive Magento-Shops weltweit – inklusive eines erheblichen Anteils der größten Onlinehändler.

Eine erfolgreiche Ausnutzung ist nicht nur ein theoretisches Risiko – sie bedeutet die vollständige Übernahme des Shop-Servers. Konkret drohen unter anderem:

• Diebstahl von Zahlungs- und Kundendaten. Angreifer können den Checkout manipulieren, um Kreditkartendaten, Adressen und Login-Informationen von Kunden in Echtzeit abzugreifen (sogenanntes Magecart-/Skimming-Szenario).
• Persistente Backdoors. Sansec beobachtet, dass die Angreifer nach der Erstinfektion dauerhafte Hintertüren installieren – der Shop bleibt also auch nach einem oberflächlichen Aufräumen kompromittiert, wenn nicht gründlich bereinigt wird.
• Kompromittierung aller Zugangsdaten und Geheimnisse. Da der Angriff über den Verschlüsselungsmechanismus von Magento läuft, sind potenziell Admin-Passwörter, API-Tokens, OAuth-Secrets, Zahlungsanbieter-Zugänge sowie Datenbank-, SSH- und Deploy-Keys betroffen – Angreifer könnten sich damit weit über den eigentlichen Shop hinaus Zugriff verschaffen.
• Ausfall des Shops. Manipulation oder Zerstörung von Daten und Systemkomponenten kann zu Downtime führen.
• Rechtliche und finanzielle Folgen. Ein Datenleck mit Kunden- oder Zahlungsdaten kann Meldepflichten nach DSGVO, Bußgelder, Schadensersatzforderungen und den Verlust der PCI-DSS-Konformität nach sich ziehen.
• Ausweitung als Sprungbrett. Ein übernommener Server kann auch als Ausgangspunkt für weitere Angriffe dienen, etwa auf angebundene interne Systeme, Partner-APIs oder Cloud-Infrastruktur.

Besonders kritisch: Da für den Angriff weder Login noch Nutzerinteraktion nötig ist und selbst gepatchte Shops betroffen waren, kann all dies passieren, ohne dass irgendjemand im Team etwas bemerkt – bis der Schaden bereits entstanden ist.

Diese Lücke vereint fast alles, was einen Sicherheitsvorfall im E-Commerce besonders schwerwiegend macht: maximale CVSS-Bewertung, keine Authentifizierung nötig, aktive Ausnutzung in freier Wildbahn – und selbst vollständig gepatchte Shops waren angreifbar. Wenn du oder dein Team für einen Magento- oder Adobe-Commerce-Shop verantwortlich seid: Sprecht jetzt mit eurer Entwicklung oder eurer Agentur, spielt den Hotfix aus APSB26-146 ein und rotiert eure Zugangsdaten.

• Adobe Security Bulletin APSB26-146: https://helpx.adobe.com/security/products/magento/apsb26-146.html
• Sansec-Analyse „StyleSmuggler": https://sansec.io/research/stylesmuggler-0day