StyleSmuggler: Kritische Magento-0-Day-Lücke wird bereits aktiv ausgenutzt

Für Magento und Adobe Commerce ist eine neue, besonders kritische Sicherheitslücke bekannt geworden. Das Sicherheitsunternehmen Sansec bezeichnet den Angriff als „StyleSmuggler“. Die Schwachstelle ermöglicht Angreifern nach Angaben von Sansec eine Remote Code Execution (RCE) ohne vorherige Anmeldung.

Besonders problematisch: Auch aktuelle Magento-Versionen einschließlich Magento 2.4.9 sind betroffen. Erste erfolgreiche Angriffe wurden bereits am 4. September 2026 beobachtet.

Shopbetreiber sollten die Situation daher ernst nehmen und ihre Magento-Systeme kurzfristig überprüfen.

Bei Sansec gibt es dazu laufend neue Informationen https://sansec.io/research/stylesmuggler

Inhaltsverzeichnis

Was ist StyleSmuggler?

StyleSmuggler ist eine neu entdeckte Angriffsmethode gegen das Template-System von Magento bzw. Adobe Commerce.

Nach der bisherigen Analyse von Sansec können Angreifer speziell präparierte Daten über die styles-Eigenschaften in Magento einschleusen und damit bestehende Sicherheitsmechanismen umgehen.

Der Angriff erfolgt nach aktuellem Kenntnisstand in zwei Schritten:

Zunächst wird schädlicher PHP-Code in das Magento-System eingeschleust.
Anschließend bringt der Angreifer Magento dazu, diesen Code bei der Verarbeitung einer fehlgeschlagenen Zahlungs-E-Mail auszuführen.

Damit kann aus einer zunächst unscheinbaren Anfrage letztlich eine Ausführung von Programmcode auf dem Server werden.

Welche Magento-Versionen sind betroffen?

Sansec konnte die vollständige Angriffskette auf sauberen Installationen folgender Versionen reproduzieren:

Magento Open Source 2.4.7
Magento Open Source 2.4.8
Magento Open Source 2.4.9

Auch ein ursprünglich kompromittierter Shop mit Magento 2.4.6-p15 war laut Sansec mit den Sicherheitsupdates von Juli und August 2026 versehen. Die Prüfung über security:patch-status zeigte dort ebenfalls keine fehlenden Sicherheitsupdates an.

Das bedeutet: Allein ein aktueller Patch-Stand schützt nach dem derzeitigen Kenntnisstand nicht vor StyleSmuggler.

Die Schwachstelle ist zum Zeitpunkt der Veröffentlichung der Sansec-Analyse noch nicht regulär durch Adobe geschlossen.

Warum ist die Sicherheitslücke besonders kritisch?

Bei einer Remote-Code-Execution-Schwachstelle kann ein Angreifer im schlimmsten Fall eigenen Code auf dem Magento-Server ausführen.

Abhängig von Serverkonfiguration, Rechten und weiteren Sicherheitsmaßnahmen können daraus weitere Angriffe entstehen. Denkbar sind beispielsweise:

Installation einer Backdoor
Zugriff auf Magento-Daten
Manipulation des Shops
Diebstahl von Zugangsdaten
Manipulation des Checkouts
Einschleusen von Schadsoftware oder Web-Skimmern
Nutzung des kompromittierten Servers für weitere Angriffe

Welche dieser Möglichkeiten bei StyleSmuggler tatsächlich bereits genutzt werden, ist derzeit noch nicht vollständig bekannt.

Sansec weist ausdrücklich darauf hin, dass die Untersuchung noch läuft und weitere technische Details folgen sollen.

Auffällige „Payment Transaction Failed“-E-Mails können ein Warnsignal sein

Ein interessantes Merkmal des Angriffs ist die Magento-Funktion „Payment Transaction Failed Reminder“.

StyleSmuggler löst gezielt fehlgeschlagene Zahlungsvorgänge aus. Magento verarbeitet daraufhin die entsprechende E-Mail – und genau während dieses Vorgangs kann der zuvor eingeschleuste Code ausgeführt werden.

Eine ungewöhnlich hohe Anzahl solcher E-Mails kann daher ein Hinweis auf einen Angriff sein.

Wichtig ist jedoch:

Eine einzelne fehlgeschlagene Zahlung ist natürlich noch kein Beweis für eine Kompromittierung. Auch regulär abgelehnte Zahlungen können diese Nachricht auslösen.

Umgekehrt bedeutet das Fehlen solcher E-Mails ebenfalls nicht automatisch, dass kein Angriff stattgefunden hat. Laut Sansec kann die Angriffskette auch funktionieren, wenn die E-Mail anschließend überhaupt nicht erfolgreich zugestellt wird.

Hinweise auf eine mögliche Kompromittierung

Sansec hat bei untersuchten Systemen unter anderem einen verdächtigen Hintergrundprozess gefunden, der sich als Linux-Kernel-Prozess tarnt:

[kworker/u:8:0]

Weitere von Sansec veröffentlichte Indicators of Compromise sind unter anderem Dateien beziehungsweise Verzeichnisse wie:

~/.local/share/.gvfsd/

sowie Dateien unter:

/tmp/.kw_*

Sansec beobachtete außerdem eine Cronjob-Persistenz, durch die eine eingeschleuste Schadsoftware regelmäßig erneut gestartet werden kann.

Auch Magento-Reports mit der Zeichenfolge

X_TRACE_

können nach Angaben von Sansec auf den Angriff hinweisen.

Beispiel für erste Prüfungen auf dem Server

Sansec nennt unter anderem folgende Prüfungen:

crontab -l | grep -i gvfsd

ls -la ~/.local/share/.gvfsd/ /tmp/.kw_* /tmp/.gvfsd-* 2>/dev/null

ps -eo pid,comm,args | grep -i kworker

grep -rl 'X_TRACE_' var/report/

Ein Treffer bedeutet nicht automatisch, dass der Shop kompromittiert wurde. Verdächtige Ergebnisse sollten jedoch genauer untersucht werden.

Was sollten Magento-Shopbetreiber jetzt tun?

Da derzeit noch kein regulärer Adobe-Fix zur Verfügung steht, sollten Magento-Betreiber nicht ausschließlich auf das nächste Update warten.

1. Magento-System auf Anzeichen eines Angriffs prüfen

Serverprozesse, Cronjobs, Magento-Reports und verdächtige Dateien sollten auf die bekannten Indicators of Compromise überprüft werden.

Auch ungewöhnliche Aktivitäten in Webserver-, Magento- und Firewall-Logs sollten untersucht werden.

2. Fehlgeschlagene Zahlungs-E-Mails kontrollieren

Eine plötzliche Häufung von „Payment Transaction Failed“-E-Mails sollte überprüft werden.

Sie kann ein Hinweis auf StyleSmuggler sein, ist für sich allein jedoch noch kein Beweis.

3. GraphQL gegebenenfalls vorübergehend deaktivieren

Sansec empfiehlt Betreibern, die keinen speziellen Schutz gegen den Angriff einsetzen, als temporäre Notfallmaßnahme GraphQL zu deaktivieren, bis ein offizieller Fix zur Verfügung steht.

Ob dies für einen konkreten Magento-Shop sinnvoll und ohne Auswirkungen möglich ist, muss vorher geprüft werden. Viele moderne Frontends, Integrationen oder Headless-Shops verwenden GraphQL aktiv.

Ein pauschales Abschalten kann daher Funktionen des Shops beeinträchtigen.

4. Nicht nur patchen – auch auf bereits erfolgte Kompromittierungen prüfen

Bei aktiv ausgenutzten Zero-Day-Schwachstellen reicht es nicht, später lediglich einen Patch einzuspielen.

Ein Angreifer könnte bereits vorher:

eine Backdoor angelegt,
einen Cronjob eingerichtet,
zusätzliche Benutzer angelegt,
Dateien verändert oder
Zugangsdaten kompromittiert

haben.

Nach Veröffentlichung eines Patches sollte deshalb nicht nur aktualisiert, sondern auch geprüft werden, ob bereits Spuren einer Kompromittierung vorhanden sind.

5. Zugangsdaten gegebenenfalls ändern

Sansec empfiehlt eine Rotation der Magento-Zugangsdaten insbesondere dann, wenn auf dem System ein verdächtiger Hintergrundprozess gefunden wurde.

Je nach Befund sollten darüber hinaus auch weitere Zugangsdaten wie Deployment-, SSH-, Datenbank- oder API-Zugangsdaten betrachtet werden.

Wann kommt ein offizielles Magento-Sicherheitsupdate?

Sansec nennt den 8. September 2026 als Termin für das nächste geplante Adobe-Sicherheitsbulletin.

Zum Zeitpunkt der Veröffentlichung der StyleSmuggler-Analyse am 5. September war jedoch noch nicht bekannt, ob dieses Update bereits einen Fix für StyleSmuggler enthalten wird.

Shopbetreiber sollten deshalb nicht davon ausgehen, dass das Problem automatisch mit dem nächsten regulären Sicherheitsupdate gelöst wird.

Zeitlicher Ablauf des Angriffs

Nach Angaben von Sansec sieht die bisher bekannte Timeline ungefähr so aus:

Zeitpunkt	Ereignis
4. September 2026, 22:20 Uhr	Erste bestätigte StyleSmuggler-Ausnutzung
4. September 2026, 23:10 Uhr	Schadsoftware wird auch in weiteren Shops erkannt
5. September 2026	Angriff auf Magento 2.4.7, 2.4.8 und 2.4.9 reproduziert
5. September 2026	Sansec veröffentlicht erste Analyse
8. September 2026	Nächstes geplantes Adobe-Sicherheitsbulletin

Die Situation entwickelt sich derzeit noch. Weitere technische Erkenntnisse können daher kurzfristig hinzukommen.

Fazit: Auch Magento 2.4.9 ist derzeit nicht automatisch geschützt

StyleSmuggler ist vor allem deshalb kritisch, weil es sich nach aktuellem Kenntnisstand um eine aktiv ausgenutzte Zero-Day-Schwachstelle handelt, für die noch kein regulärer Adobe-Patch zur Verfügung steht.

Auch aktuelle Magento-Systeme sollten deshalb überprüft werden.

Für Betreiber bedeutet das momentan vor allem:

Nicht nur auf den nächsten Magento-Patch warten, sondern den Shop bereits jetzt auf Angriffsspuren kontrollieren und mögliche Schutzmaßnahmen prüfen.

Besonders wichtig ist außerdem die Unterscheidung zwischen Schwachstelle schließen und bereits erfolgte Kompromittierung beseitigen. Selbst wenn Adobe kurzfristig einen Patch veröffentlicht, entfernt dieser nicht automatisch eine zuvor eingeschleuste Backdoor.

Da die Analyse von StyleSmuggler aktuell noch läuft, müssen die weiteren Erkenntnisse von Sansec und insbesondere die kommenden Adobe-Sicherheitsinformationen beobachtet werden.

Quelle und technische Details: Sansec Forensics Team, „StyleSmuggler: Magento and Adobe Commerce 0-day RCE under active attack“, veröffentlicht am 5. September 2026.

https://sansec.io/research/stylesmuggler