LONDON (IT BOLTWISE) – Adobe hat Sicherheitsupdates für Adobe Commerce und Magento Open Source veröffentlicht, um eine maximal kritische Schwachstelle mit dem Namen StyleSmuggler zu schließen. Die Lücke, jetzt als CVE-2026-75650 (CVSS 10.0) geführt, wird bereits aktiv in echten Angriffen ausgenutzt. Im Kern missbraucht die Attacke das Template-System von Magento für PHP-Code-Injection und löst dabei Code-Ausführung aus. Laut Sansec und weiteren Stellen soll die Entwicklung außerdem in Richtung Rust-Backdoor sowie PHP-Webshells zielen.
Adobe hat am Montag Patches bereitgestellt, um eine hochkritische Lücke in Adobe Commerce und Magento Open Source zu schließen, die nach Angaben des Herstellers bereits aktiv im Feld ausgenutzt wird. Die Schwachstelle ist jetzt unter CVE-2026-75650 mit einem CVSS-Score von 10.0 dokumentiert und trägt den Codenamen StyleSmuggler. Laut Adobe betrifft der Fehler nicht nur eine einzelne Release-Generation, sondern mehrere Versionen über mehrere 2.4.x-Zweige hinweg sowie Teile der B2B-Variante.
Technisch setzt StyleSmuggler genau dort an, wo Magento gewöhnlich dynamische Inhalte auf Basis von Templates erzeugt: Über das Template-System soll sich das Ziel zu einer PHP-Code-Injection verleiten lassen. Dadurch wird ein E-Mail-Vorgang mit dem Betreff „Payment Transaction Failed Reminder“ angestoßen – und in diesem Schritt soll die fehlerhafte Logik die eigentliche Code-Ausführung ermöglichen. Das ist besonders brisant, weil das Template- und Ausführungsmodell nicht als klassischer „Upload“- oder „Auth“-Weg missbraucht wird, sondern als integraler Bestandteil der Server-seitigen Verarbeitung. In der Praxis bedeutet das: Wer anfällig ist und die Manipulation im richtigen Kontext platziert, kann die Kettenreaktion bis zur Codeausführung auslösen, ohne auf zusätzliche Interaktionsschritte angewiesen zu sein.
Für den kurzfristigen Betrieb heißt das: Adobe verweist auf einen konkreten Hotfix-Pfad und nennt das Patch-Paket VULN-39341-composer-patches.zip, das über die Magento-Repository-Umgebung verfügbar sei. Zusätzlich stellt Adobe eine zweite Maßnahme klar in den Vordergrund: Neben dem Anwenden des Patches wird auch eine Rotation der Verschlüsselungsschlüssel verlangt. Diese Kombination ist in Incident-Kontexten typisch, weil eine erfolgreiche Ausnutzung oft nicht bei der reinen Ausführung endet, sondern auch Session-/Secrets- und Datenpfade berühren kann. Damit verschiebt sich die Maßnahme von „nur Update installieren“ hin zu „Update plus Schadensbegrenzung und Schlüsselhygiene“, was gerade bei Shops mit mehreren Umgebungen (Staging, Produktion, Abrechnungssysteme) den Abgleich der Secrets erforderlich macht.
Der zeitliche Kontext unterstreicht den Handlungsdruck. Berichten zufolge wurde die aktive Ausnutzung bereits ab dem 4. September 2026 beobachtet, und die Entdeckung ordnet das Vorgehen in ein breiteres Muster ein: Laut Sansec zielen Angriffe auf die Bereitstellung einer Rust-basierten Linux-Backdoor, die eine Verbindung zu einem externen Server aufbaut und anschließend auf weitere Anweisungen wartet. Separat wird beschrieben, dass das Muster auch zur Auslieferung eines PHP-Droppers genutzt wurde, der auf betroffenen Seiten eine Webshell schreibt. Der Unterschied zwischen Backdoor und Webshell ist dabei weniger theoretisch als operativ: Eine Backdoor adressiert oft langfristige Kontrolle und Command-and-Control, während eine Webshell typischerweise die unmittelbare, flexible Ausführung von PHP-Code im Webkontext erleichtert.
Auch die beobachtete Dynamik liefert Hinweise darauf, wie schnell sich aus einer anfälligen Konfiguration eine konkrete Kompromittierung entwickeln kann. Wie aus Angaben von Disrex hervorgeht, sei ein Magento-Server etwa 50 Minuten nachdem die erste bestätigte StyleSmuggler-Ausnutzung am 4. September 2026 um 10:20 p.m. UTC gemeldet wurde, kompromittiert worden. Disrex beschreibt die Lücke dabei als Kettenmechanismus, der Magento-eigene Template-Verarbeitung und Dependency-Injection in eine „unauthenticated remote-code-execution“-Kette überführt. Für Sicherheitsteams ist diese Formulierung ein Signal, dass klassische Schutzlogik wie reine Authentifizierungsprüfungen oder reduzierte Benutzerrollen nicht zwangsläufig helfen, wenn der Einstieg über serverseitige Ausführungspfade erfolgt.
Für Unternehmen, die Magento oder Adobe Commerce einsetzen, hängt die Priorität der Reaktion damit direkt von ihrer Versionslage ab. Adobe listet betroffene Releases sehr granular auf, inklusive verschiedener 2.4.9-2026-aug und früherer Zweige sowie B2B-Versionen wie 1.5.3-2026-aug und ältere. Der konkrete Nutzen liegt in der Planung: Teams können anhand dieser Versionsbänder sofort priorisieren, ob sie „nur“ Security-Patching nachziehen müssen oder ob zusätzlich ein umfassenderes Monitoring und ein Secrets-Reset in die Release-Pipeline einziehen sollte. In der Praxis empfiehlt sich außerdem, die Update-Aktionen nicht als isoliertes Change-Fenster zu behandeln, sondern als Bestandteil einer Sicherheitsroutine: Logs auf Auffälligkeiten prüfen, Integrität der betroffenen Web- und Template-Routen verifizieren und die Rotation der Verschlüsselungsschlüssel bis auf die Konsistenz im gesamten Deployment-Kosmos nachvollziehen.
Damit verschiebt sich auch der Blick auf die Angriffsfläche in Richtung Build- und Laufzeitkette. Wenn eine Template-Mechanik und deren Abhängigkeiten zur Remote-Code-Ausführung beitragen, rücken nicht nur Web-Parameter und Input-Validierung in den Fokus, sondern auch welche Module, Abhängigkeiten und Codepfade in der jeweiligen Magento-Konfiguration tatsächlich aktiv sind. Für die KI-gestützte Sicherheitsarbeit bedeutet das zudem: Automatisierte Erkennungspipelines sollten nicht nur nach bekannten Payload-Mustern suchen, sondern nach Ablaufmustern, die zu PHP-Code-Injection, ungewöhnlichen Template-Ausführungen und dem anschließenden Erreichen von Shell-ähnlichen Fähigkeiten passen. Solange StyleSmuggler nicht vollständig aus allen betroffenen Installationen eliminiert ist, bleibt der Patch-Status damit ein zentraler operativer KPI – nicht nur ein Ticket im Backlog.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Adobe schließt Magento Zero-Day StyleSmuggler mit Patch" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Adobe schließt Magento Zero-Day StyleSmuggler mit Patch" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Adobe schließt Magento Zero-Day StyleSmuggler mit Patch« bei Google Deutschland suchen, bei Bing oder Google News!