LONDON (IT BOLTWISE) – Eine ungesicherte Zero-Day-Lücke in Magento Open Source und Adobe Commerce wird offenbar aktiv ausgenutzt. Die Sicherheitsfirma Sansec nennt die Schwachstelle „StyleSmuggler“ und beschreibt eine Kette, die ohne Login Code auf dem Server ausführt und eine persistente Hintertür installiert. Bis Adobe einen Patch nachliefert, raten die Erstmelder u. a. dazu, GraphQL temporär zu deaktivieren, sofern der Shop darauf nicht angewiesen ist. Parallel dazu veröffentlichen Betreiber-Teams konkrete Such- und Blockregeln für kompromittierte Stores.
Für Betreiber von Magento- und Adobe-Commerce-Shops wird es derzeit vor allem deshalb dringend, weil es laut Sansec bereits aktiv zu kompromittierten Installationen gekommen ist, obwohl die Lücke am 6. September noch ohne CVE, ohne offiziellen Fix und ohne bestätigte betroffene Versionen durch Adobe im Bulletin-Index dasteht. Die Meldung ordnet sich damit in das Muster ein, das Security-Teams bei Webshop-Frameworks mit besonders langer Update-Zyklen immer wieder sehen: Eine Lücke ist technisch schnell ausnutzbar, aber die organisatorische Reaktion folgt erst mit Verzögerung. Sansec hat die Schwachstelle nach eigenen Angaben „StyleSmuggler“ benannt und berichtet, dass Angriffe bereits am 4. September gestartet seien. Besonders brisant ist dabei, dass eine erfolgreiche Ausnutzung nicht nur einmalig Befehle ausführen soll, sondern eine persistente Backdoor nachinstalliert.
Technisch beschreibt Sansec eine zweistufige Angriffskette, die ohne Authentifizierung auskommt. Zuerst platzieren die Angreifer PHP-Code in eine Datei, die Magento selbst während bestimmter Abläufe schreibt – als Beispiel nennt die Quelle das Generieren eines Failure-Reports. Danach bringen sie Magento dazu, diesen Code über einen Standardpfad auszuführen: Durch das Auslösen der E-Mail „Payment Transaction Failed Reminder“. Die Logik dahinter ist pragmatisch für Angreifer, weil niemand den Shop-Server über eine Bedienoberfläche öffnen muss; der Schadcode läuft, während Magento die Nachricht rendert. Das Modell funktioniert laut Sansec selbst dann, wenn der Versand der E-Mail fehlschlägt – der Ausführungspfad hängt nicht daran, ob die Zustellung erfolgreich ist.
Für die unmittelbare Abwehr zeigt sich die praktische Lage allerdings zweigeteilt: Es gibt noch keinen von Adobe ausgerollten Patch, aber es existieren mehrere kurzfristige Gegenmaßnahmen, die sich an der Architektur von Magento-Umgebungen orientieren. Sansec empfiehlt Shield-Kunden bzw. betroffenen Shops, die nicht mit dem angebotenen Schutzprodukt „Shield“ arbeiten, GraphQL temporär zu deaktivieren, bis ein temporärer Fix verfügbar ist. Genau hier setzt auch Disrex an, ein Magento-Hosting- und Entwicklungshaus, das die Abhängigkeiten von Store-Typen einordnet: Headless- und Progressive-Web-App-Frontends benötigen häufig GraphQL, während klassische und „Hyvä ä l; “-Shopfrontends üblicherweise ohne diesen Pfad auskommen. Disrex stellt außerdem fest, dass Blockregeln, die auf die Query-String-Parameter zielen, zwar eine laufende Kampagne stoppen können, aber nicht alle Varianten abdecken, sobald die Angriffsparameter über POST oder JSON gesendet werden.
Die Details, die Disrex zur Erkennung und Eindämmung liefert, sind für Sicherheitsverantwortliche besonders wertvoll, weil sie konkrete Indikatoren auf Betriebsebene nennen. In den Beschreibungen taucht der Implant-Charakter als Hintergrundprozess auf, der sich unter einem Kernel-Thread-Namen wie „[kworker/u: 8:0]“ tarnt. Der Code liege dabei nicht im Webroot, sondern in einem Nutzerverzeichnis unter ~/.local/share/…, und er werde über einen Cron-Mechanismus alle fünf Minuten neu gestartet. Disrex beschreibt zudem einen Querschnitt aus Plattformen: Der Hintergrundprozess soll als Rust-Programm (statisch gelinkt) in einer Größenordnung von etwa 1,9 MB vorliegen und sowohl für x86-64 als auch arm64 gebaut sein. Interessant ist auch das Verhalten gegenüber Logs und Bereinigungsversuchen: Disrex berichtet, dass ein Store dieselbe Cron-Zeile extrem oft trug und der Implant diese innerhalb von Sekunden wiederherstellte, nachdem sie entfernt worden war.
Damit verschiebt sich die Rolle von „Indicators of Compromise“ in eine operative Entscheidungslogik: Was zuerst prüfen, was zuerst stoppen, und welche „Reinigungsschritte“ die Evidenz zerstören. Disrex rät für bereits infizierte Umgebungen dazu, Beweise zuerst zu sichern, den Cron-Eintrag zu entfernen, bevor der Prozess gekillt wird (weil die Wiederherstellung sonst die Artefakte verwischt), und explizit auf einen Reboot zu verzichten, weil ein Exemplar im /proc-Kontext unter Umständen die einzige verbleibende Quelle für den laufenden Binärzustand ist. Auf keinen Fall soll man laut Disrex unmittelbar „composer install“ ausführen, weil dabei die Dateizeitstempel überdeckt werden können, die sichtbar machen, was zuletzt verändert wurde. Dazu kommen weitere Schritte wie Session-Storage leeren und die kryptografischen Schlüssel in app/etc/env.php rotieren – inklusive Admin-Passwörtern sowie API-Schlüsseln für Zahlungsanbieter und sonstige Integrationen, die in dieser Datei gebündelt sind.
Auch die Suche nach der eigentlichen Exploit-Vorbereitung zeigt, warum viele Standard-Checks möglicherweise zu kurz greifen. Sansec nennt als Marker in var/report Verzeichnissen das Muster X_TRACE_, während Disrex in zwei eigenen kompromittierten Stores stattdessen eine Vergiftung über var/log/system.log beobachtet. Zusätzlich meldet Disrex, dass sich das Trigger-Header-Muster über den 5. September „verschoben“ habe: Es gab zunächst eine Form mit dem Wort TRACE, später eine Variante ohne dieses Wort, die dennoch eine Header-Struktur mit nachfolgenden Hex-Ziffern beibehalte. Für die Erkennung heißt das: nicht ausschließlich nach einem exakten String scannen, sondern nach dem Format. Disrex führt zudem als Erfolgsindikator einen TypeError aus array_merge() nach dem Include in system.log an – allerdings räumt es auch eine stealthier Variante ein, bei der ein leerer Array zurückkommt und somit weniger Spuren in den Logdaten sichtbar bleiben.
Unter dem Strich entsteht für den Markt ein unbequemes, aber klar steuerbares Risiko: Ohne Patch ist die Reduktion der Angriffsfläche und die Detektion entscheidend, und genau dafür liefern die unterschiedlichen Parteien Bausteine, die sich ergänzen statt zu ersetzen. Disrex veröffentlicht nginx- und Apache-Regeln, die Requests mit den relevanten Parametern im URL-Query-String blockieren, zusätzlich eine Magento-seitige Härtung an drei Methoden innerhalb der Dependency-Injection-Scans, die die Codeausführung außerhalb der Kommandozeile unterbinden soll. Weil Handänderungen nach jedem composer install wieder verworfen würden, liefert Disrex die Änderung als Composer-Patch aus, der beim Deployment erneut angewendet werden kann. Gleichzeitig weist Disrex darauf hin, dass die Härtung an konkreten Scanner-Dateien die Admin-Anmeldung oder zugehörige Module beeinträchtigen kann und dass deshalb die vendor-Verzeichnisse zunächst geprüft werden sollten. Ob und wie ein offizieller Patch von Adobe diese Pfade schließt, bleibt bis zur nächsten planmäßigen Sicherheitsveröffentlichung am 8. September offen; bis dahin müssen Betreiber den Mix aus temporären Abschaltungen, serverseitigen Filtern und forensisch sauberen Suchläufen praktizieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Magento-Backdoor „StyleSmuggler“: Ungepatchte Zero-Day trifft Adobe Commerce" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Magento-Backdoor „StyleSmuggler“: Ungepatchte Zero-Day trifft Adobe Commerce" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Magento-Backdoor „StyleSmuggler“: Ungepatchte Zero-Day trifft Adobe Commerce« bei Google Deutschland suchen, bei Bing oder Google News!