LONDON (IT BOLTWISE) – Angreifer nutzen eine ungepatchte Zero-Day-Lücke in Magento Open Source und Adobe Commerce, um ohne Login bösartigen Code auszuführen. Eine Untersuchung der niederländischen E-Commerce-Sicherheitsfirma Sansec beschreibt dabei eine zweistufige Kette aus PHP-Injektion und einer Magento-internen Ausführung über eine Zahlungs-E-Mail-Vorlage. Betroffene Läden sollen laut Zwischenempfehlungen kurzfristig GraphQL deaktivieren, falls sie keine Schutzfunktion ihres Shields-Produkts einsetzen. Derweil zeigen unabhängige Analysen eines Hosting-Teams Regeln und Härtungsmaßnahmen, doch ein offizielles Vendor-Fix steht weiterhin aus.
Die neue Angriffsfläche trifft besonders deshalb, weil sie nicht auf gestohlene Logins angewiesen ist. Laut dem am 5. September veröffentlichten Advisory der niederländischen E-Commerce-Sicherheitsfirma Sansec ermöglicht die als StyleSmuggler benannte Lücke eine unauthenticated Ausführung von Code auf dem Server eines Online-Shops und installiert anschließend eine persistente Backdoor. Sansec erklärte zugleich, man veröffentliche früh, „weil Stores gerade kompromittiert werden“ – ein Hinweis darauf, dass der relevante Zeitraum zwischen Entdeckung und Gegenmaßnahmen enger ist, als viele Betreiberteams in ihren Incident-Response-Playbooks abbilden können.
Technisch knüpft der Angriff an Magento-typische Abläufe an: In einer ersten Stufe platziert der Exploit PHP-Code in Dateien, die Magento selbst beim Erstellen bestimmter Reports und Meldungen erzeugt – zum Beispiel im Kontext von Failure Reports. In der zweiten Stufe bringt der Angreifer Magento dazu, diese Datei auszuführen, indem er den Versand der Vorlage „Payment Transaction Failed Reminder“ triggert. Entscheidend ist, dass die Codeausführung in dem Moment passiert, in dem Magento die Nachricht rendert; dadurch muss der Angreifer sich nicht auf eine erfolgreiche E-Mail-Auslieferung stützen. Sansec kündigte an, dass es noch keine vollständige Veröffentlichung der gesamten Exploit-Kette als Reproduktion gebe und dass Details zu Dropper und Implant in einem Update folgen sollen.
Die Auswirkungen sind nicht nur auf eine einzelne Version beschränkt. Sansec stellt fest, dass „alle aktuellen Versionen“ betroffen seien, nennt aber konkret auch die Release-Linien 2.4.7 bis 2.4.9 sowie 2.4.9 als betroffene Zielplattform; die Firma berichtet außerdem, die vollständige unauthenticated Kette auf frischen Installationen von Magento Open Source 2.4.7, 2.4.8 und 2.4.9 reproduziert zu haben. Besonders brisant wirkt zudem der beschriebene Abgriff bei einer ersten identifizierten Opferinstanz: Dort lief 2.4.6-p15 – also eine Version, für die bereits Sicherheitsupdates im Juli und August 2026 eingespielt worden waren. Gleichzeitig bleibt Adobe Commerce im Bericht zunächst in einer Informationslücke: Bis zum 6. September nennt Sansec keinen Adobe-CVE-Eintrag, keine offizielle Patch-Verfügbarkeit und auch keinen Workaround; die Security-Bulletin-Indexliste weist nach den Angaben keine Nachträge nach dem 11. August aus.
Für Betreiber zählt damit weniger die Frage, ob man „GraphQL“ nutzt, sondern ob bestimmte Störelemente des Datenwegs über eine Minimierung von Angriffsmöglichkeiten sofort steuerbar sind. In der Zwischenphase rät Sansec betroffenen, die keinen Sansec-Shield-Schutz einsetzen und die nicht auf einen temporären Fix warten wollen, GraphQL bis zur Veröffentlichung einer Gegenmaßnahme zu deaktivieren. Hier kommt der Unterschied zwischen Storefront-Typen ins Spiel: Das Disrex Group genannte Hosting- und Entwicklungsunternehmen verweist darauf, dass Headless- und Progressive-Web-App-Storefronts GraphQL typischerweise benötigen, während klassische und Hyvä-Storefronts meist ohne auskommen. Für Teams bedeutet das: Selbst wenn eine technische Maßnahme „einfach“ klingt, kann sie in der Praxis Frontend-Architekturentscheidungen berühren und muss gegen Umsatz- und Funktionsanforderungen abgewogen werden.
Unabhängig von Sansecs Advisory liefern Disrex’ Analysen zudem ein zweites Bild der Realwelt-Ausnutzung. In einem am 5. September veröffentlichten Incident-Response-Repository beschreibt Disrex, man habe in diesem Zeitraum zwei kompromittierte Stores bearbeitet und einen dritten als angegriffen, aber nicht gebrochen, eingestuft. Die eigenen Web-Server-Regeln basieren dabei auf beobachtetem Angriffstrafikmaterial aus einem der Fälle. Disrex nennt für einen betroffenen Store einen Magento-Stand von 2.4.7-p2, also acht Patch-Stufen hinter dem aktuellen 2.4.7-p10, und hebt hervor, dass ein Treffer bereits um 23:10 UTC am 4. September erfolgte – Stunden bevor erste blockierende Regeln laut Sansec live gingen. Gleichzeitig betont Disrex im README, dass das Repository mit KI-Unterstützung während eines laufenden Incidents in wenigen Stunden entstand, nicht abschließend gegengeprüft sei und Cleanup-Kommandos eher geschrieben als ausgeführt worden seien; allein diese Transparenz ist für professionelle Teams relevant, weil sie die Aussagekraft einzelner Schritte begrenzt.
Die in den Berichten beschriebenen Indicators-of-Compromise zeigen, wie stealthy die Backdoor arbeitet. Sansec charakterisiert das Implant als Hintergrundprozess, der seinen Namen so tarnt, dass er auf den ersten Blick wie ein Kernel-Thread wirkt: im Prozessbild soll der Name zu [kworker/u: 8:0] passen, während der eigentliche Binärcode unterhalb des Home-Verzeichnisses des Site-Nutzers liegen soll, konkret in ~/.local/share/gvfsd/gvfsd-user. Persistenz entsteht über einen Cron-Mechanismus, der laut Sansec das Implant alle fünf Minuten neu startet und nicht über eine übliche Crontab-Ersetzung im Log auffällt. Disrex beschreibt zusätzlich, dass das Binärformat als etwa 1,9 MB großer, stripped und statisch gelinkter Rust-Build für x86-64 und arm64 vorliegt; in einer Beobachtung habe das Implant im laufenden Zustand sogar keine ausgehende Verbindung aufgebaut, sondern zahlreiche Sessions und Verbindungen zu einer lokalen Redis-Instanz auf Port 6379 gehalten und von dort die Magento-Session-Informationen abgezogen.
Für die kurzfristige Verteidigung ist vor allem entscheidend, welche Maßnahmen tatsächlich unabhängig vom exakten Endpunkt der Exploit-Kette wirken. Disrex stellt in seinem Maßnahmenpaket fest, dass einige Scanner-Checks zwar Indikatoren finden, aber keine Garantie bieten: Ein eComscan-Lauf mit Background-Prozess- und Scheduled-Task-Prüfungen habe in einem Fall trotz laufendem Implant „clean“ gemeldet. Auf der Web-Server-Seite hat Disrex nginx- und Apache-Regeln veröffentlicht, die Requests mit den exploit-spezifischen Parametern in der URL-Query blockieren. Gleichzeitig liefert das Team einen wichtigen Praxis-Hinweis: Wenn die gleichen Parameter per POST oder als JSON-Körper gesendet werden, erreichen sie nach Disrex’ Test dennoch PHP, weil nginx und Apache in diesen Szenarien nur die Query-Zeichenfolge inspizieren. Disrex beschreibt seine Serverregeln daher eher als Stopper für die aktuell beobachtete Kampagne als als komplette Schwachstellenbeseitigung.
Ohne offiziellen Vendor-Fix bleibt damit ein Bündel aus Härtung, Serverhygiene und forensischer Sorgfalt. Disrex’ Hauptmitigation setzt an drei Stellen in Magentos Dependency-Injection-Scanner-Logik an und blockiert, dass diese Komponenten außerhalb des Kommandozeilen-Kontexts laufen dürfen; die manuelle Code-Änderung lässt sich jedoch durch jeden composer install-Schritt zurücksetzen, weshalb Disrex das als composer-patches-Ansatz wiederholt auf Deployment-Ebene einbindet. Ein dabei adressierter Guard kann allerdings laut Disrex die Admin-Oberfläche eines Drittmoduls (genannt: mageplaza/module-admin-permissions) beeinträchtigen, weshalb Administrierende vor der Änderung im vendor-Verzeichnis prüfen sollen. Ergänzend schlägt das Team weitere Server-Constraints vor, etwa das gezielte Deaktivieren von PHP-Funktionen wie proc_open in disable_functions sowie Noexec-Mounts für /tmp, /var/tmp und /dev/shm, damit ein heruntergeladenes Binärprogramm sich nicht ausführen kann; für bereits infizierte Systeme empfiehlt Disrex zudem eine abgestufte Reihenfolge zur Beweissicherung, darunter das Sichern von Indizien vor dem Entfernen von Cron, das Vermeiden von Reboots wegen eines möglichen Kopien-Status in /proc und das Zurückhaltender Vorgehen bei composer install, weil dies Zeitstempel verfälschen kann.
Bis Adobe am 8. September die nächste geplante Security-Veröffentlichung liefert, bleibt die operative Realität damit: Betreiber müssen entweder den angeordneten temporären Weg (GraphQL-Deaktivierung in passenden Setups) gehen, serverseitige Filter und Härtungsregeln einspielen oder zumindest in einem eng getakteten Incident-Response-Prozess kompromittierte Systeme identifizieren und die empfohlenen Schritte zur Credential-Rotation umsetzen. Sansec rät dabei ausdrücklich, Magento-Zugänge und alle Umgebungsanbindungen zu rotieren, sobald der Prozess identifiziert wurde. Unklar bleibt dagegen die Größenordnung: Sansec nennt keine Anzahl kompromittierter Shops, und auch Disrex hat keine final belastbare Zahl veröffentlicht, obwohl das Team in zwei Fällen konkrete Logs und Prozesssignaturen zusammengetragen hat. Unbenannte Angreifer werden im Bericht nicht identifiziert; für IT-Leiter ist deshalb jetzt vor allem die Frage relevant, wie schnell sie ihren Shopstand, Frontend-Architektur (GraphQL-Nutzung) und Hosting-Stack so absichern können, dass weitere Exploit-Versuche zuverlässig abbrechen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "StyleSmuggler: Ungepatchte Magento- und Adobe-Commerce-Lücke ermöglicht Backdoor ohne Login" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "StyleSmuggler: Ungepatchte Magento- und Adobe-Commerce-Lücke ermöglicht Backdoor ohne Login" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »StyleSmuggler: Ungepatchte Magento- und Adobe-Commerce-Lücke ermöglicht Backdoor ohne Login« bei Google Deutschland suchen, bei Bing oder Google News!