Die von Sansec als StyleSmuggler bezeichnete Schwachstelle in Adobe Commerce und Magento Open Source hat mit CVSS 10.0 den höchstmöglichen Schweregrad. Adobe veröffentlichte am Montag Korrekturen, nachdem das niederländische Unternehmen die Ausnutzung als Zero-Day bereits ab dem 4. September 2026 dokumentiert hatte.
Kern des Problems ist Magentos Template-Verarbeitung. Über eine PHP-Code-Injektion lässt sich die Erzeugung einer Erinnerungs-E-Mail zu einer fehlgeschlagenen Zahlungstransaktion anstoßen, in deren Verlauf eingeschleuster Code ausgeführt wird. Der niederländische Dienstleister Disrex beschreibt die Lücke so: StyleSmuggler verwandle Magentos eigenen Code zur Template-Verarbeitung und Abhängigkeitsinjektion in eine Kette, die nicht authentifizierte Codeausführung aus der Ferne erlaubt.
Adobe bestätigt in seinem Hinweis, dass die Aktualisierung eine kritische Schwachstelle behebt, die zur Ausführung beliebigen Codes führen könnte, und dass dem Unternehmen Angriffe auf Adobe-Commerce-Händler bekannt sind.
Die Korrektur wird als Hotfix ausgeliefert und steht als Paket zum Download bereit (repo.magento[.]com/patch/VULN-39341-composer-patches.zip). Ein reines Einspielen genügt allerdings nicht: Nach Angaben von Adobe müssen Betreiber je nach eingesetzter Version den Patch VULN-39341 anwenden und zusätzlich ihre Verschlüsselungsschlüssel rotieren.
Was Angreifer mit der Lücke tun, hatte Sansec schon vor Erscheinen der Patches offengelegt. In einem Fall wird eine in Rust geschriebene Linux-Backdoor installiert, die Verbindung zu einem externen Server aufnimmt und dort auf weitere Befehle wartet. In einem davon getrennten Fall kommt ein PHP-Dropper zum Einsatz, der auf angreifbaren Systemen eine Webshell ablegt. Diese kann anschließend beliebigen PHP-Code ausführen.
Wie schnell die Angriffe erfolgten, zeigt ein von Disrex geschilderter Fall: Ein von der E-Commerce-Entwicklungsplattform betreuter Magento-Server soll 50 Minuten nach der ersten bestätigten StyleSmuggler-Ausnutzung kompromittiert worden sein. Diese erste Meldung datiert Disrex auf den 4. September 2026, 22:20 Uhr UTC.
Händler, die Adobe Commerce oder Magento Open Source betreiben, sollten daher nicht nur die betroffenen Versionen aktualisieren, sondern auch prüfen, ob auf ihren Systemen Spuren der beschriebenen Rust-Backdoor oder einer PHP-Webshell zu finden sind — und die von Adobe geforderte Rotation der Verschlüsselungsschlüssel vornehmen.