Was passiert
Adobe hat am Montag Sicherheitsupdates für einen kritischen Fehler in Adobe Commerce und Magento Open Source veröffentlicht, der bereits in der Praxis ausgenutzt wird. Die Lücke trägt die Bezeichnung CVE-2026-75650 und erhält die maximale CVSS-Bewertung von 10.0. Das Sicherheitsunternehmen Sansec, das die Lücke entdeckt hat, gibt ihr den Namen StyleSmuggler.
Die Zero-Day-Exploitation begann nachweislich am 4. September 2026. Sansec beobachtete, wie Angreifer die Schwachstelle zielgerichtet einsetzen, um zwei verschiedene Arten von Malware einzuschleusen: eine Rust-basierte Backdoor und PHP-Webshells. Diese Kombination deutet auf professionelle Angreifer hin, die vollständige Kontrolle über betroffene Systeme anstreben.
Die Rust-Backdoor ist besonders bemerkenswert, da Rust als Programmiersprache für Malware noch vergleichsweise selten eingesetzt wird. Sie bietet allerdings erhebliche Vorteile für Angreifer: Der resultierende Binary ist schwer zu analysieren, portable über verschiedene Systeme und weniger häufig durch bestehende Sicherheitstools erkannt. Die zusätzliche Platzierung von PHP-Webshells ermöglicht es den Angreifern, direkt auf die Webanwendung zuzugreifen und persistente Zugriffe zu etablieren.
Das Update adressiert den Fehler, dessen genaue technische Details Adobe noch nicht vollständig offengelegt hat. Die maximale CVSS-Bewertung deutet jedoch auf eine Lücke hin, die ohne jegliche Authentifizierung ausgenutzt werden kann und unmittelbar zu Codeausführung führt. Magento und Adobe Commerce sind weit verbreitete E-Commerce-Plattformen, weshalb die Reichweite potenziell groß ist. Betroffen sind beide Varianten: das kommerzielle Adobe Commerce Produkt und die Open-Source-Version Magento Open Source.
Adobe hat die Veröffentlichung des Patches koordiniert mit der Offenlegung durch Sansec, um Administratoren Zeit zum Einspielen des Updates zu geben, bevor weitere Details bekannt werden. Die Tatsache, dass die Lücke bereits vor dem offiziellen Patch unter Einsatz von Malware exploitet wurde, unterstreicht die dringende Notwendigkeit schneller Patches.
Einordnung
E-Commerce-Plattformen sind bewährte Ziele für Angreifer, weil sie Zugang zu Kundendaten, Zahlungsinformationen und kritischen Geschäftsfunktionen bieten. Magento in seinen verschiedenen Varianten ist eine der weltweit meistgenutzten Plattformen und wird von tausenden Händlern betrieben – große und kleine. Eine Zero-Day-Lücke mit CVSS 10.0 in solch einer verbreiteten Software kann daher erhebliche Schäden anrichten.
Der Einsatz von Rust-Malware signalisiert eine Verschiebung in der Angreifer-Taktik. Während PHP-Backdoors für Magento-Umgebungen Standard sind und sich leicht integrieren lassen, kombinieren die Angreifer dies bewusst mit einer Rust-basierten Komponente. Das erlaubt ihnen, auch dann Kontrolle zu bewahren, wenn der PHP-Web-Shell entdeckt und entfernt wird. Die Rust-Backdoor läuft auf Systemebene und ist deutlich schwerer zu eliminieren.
Historisch gesehen haben Magento-Umgebungen regelmäßig unter gezielten Attacken gelitten. Die Plattform ist Ziel von Skimmern, Datenbankdiebstählen und Ransomware-Kampagnen. Die aktuelle Lücke folgt diesem Muster, jedoch mit erhöhter Geschwindigkeit: Zwischen der Entdeckung des Exploits durch Sansec (4. September) und der öffentlichen Ankündigung verging weniger Zeit als bei früheren Zero-Days. Das deutet auf einen gut organisierten Angreifer oder eine Gruppe hin, die parallele Exploitation-Kampagnen fährt.
Im Gegensatz zu früheren Magento-Sicherheitsvorfällen, bei denen vor allem automatisierte Scanning- und Exploitation-Werkzeuge zum Einsatz kamen, zeigt der StyleSmuggler-Angriff gezieltes Know-How. Die Kombination aus Backdoor und Webshell, die schnelle Verbreitung und die Nutzung von Rust deuten auf professionelle Akteure hin – möglicherweise Gruppen, die E-Commerce-Betrieb zu ihrer primären Einnahmequelle gemacht haben.
Was das bedeutet
Die zentrale Konsequenz ist eine unmittelbare Handlungsforderung für jeden Betreiber von Magento oder Adobe Commerce: Der Patch muss priorisiert werden. Die CVSS-10.0-Bewertung ist nicht theoretisch – es gibt bereits nachgewiesene Exploits in der Wildnis, und Angreifer werden weiterhin ungepatched Systeme scannen und kompromittieren.
Jedoch reicht das Patch-Einspielen nicht aus. Administratoren müssen parallel ihre Systeme auf bereits eingeschleuste Malware überprüfen. Eine PHP-Webshell ist mit Audit-Tools und manuellen Datei-Scans zu finden. Die Rust-Backdoor erfordert jedoch tiefere Forensik: Prozess-Analysen, Netzwerk-Logs und möglicherweise externe Sicherheitsexperten. Wer verdächtiges Verhalten bemerkt – ungewöhnliche Prozesse, Netzwerk-Verbindungen zu unbekannten IPs oder Datenzugriffe – sollte das ernst nehmen und untersuchen.
Für die Zukunft zeichnet sich ab: Professionelle Angreifer investieren verstärkt in robustere Backdoors jenseits von PHP, um ihre Präsenz auch nach der Patch-Installation zu bewahren. Das bedeutet, dass traditionelle Sicherheitsansätze für E-Commerce-Systeme – Firewall, WAF, regelmäßige Patches – zwar notwendig, aber nicht hinreichend sind. Permanente Überwachung, Bedrohungs-Intelligence und schnelle Reaktionsfähigkeit werden zum Standard.
