Sicherheitslücke betrifft die E-Commerce-Plattformen Adobe Commerce und Magento. Es wurde am 4. September von der Sicherheitsfirma Sansec entdeckt und wird aktiv ausgenutzt, um eine Hintertür auf den Linux-Servern von Online-Shops bereitzustellen.

Adobe reagierte, indem es am 7. September einen Notfall-Patch für diese Sicherheitslücke CVE-2026-75650 auf der kritischen und maximalen Gefahrenstufe veröffentlichte. Es wurde StyleSmuggler genannt.

Wie funktioniert der StyleSmuggler-Exploit?

Der Angriff nutzt eine Schwachstelle im Template-System von Magento aus. Angreifer schleusen mithilfe von Styles-Eigenschaften bösartigen PHP-Code ein, eine Methode, die es ihnen ermöglicht, bestehende Schutzmaßnahmen zu umgehen.

Die Ausnutzung erfolgt in zwei Schritten: Zunächst wird der Code in das System „vergiftet“, beispielsweise durch Generierung eines Fehlerberichts. Anschließend führt Magento diesen Schadcode aus, wenn eine Transaktions-E-Mail, beispielsweise eine Benachrichtigung über einen Zahlungsausfall, gerendert wird.

Die Technik ist besonders heimtückisch, da sie keine Interaktion erfordert vom Endverbraucher.

Welche Folgen hat ein erfolgreicher Angriff?

Sobald die Ausbeutung erfolgreich ist, entsteht eine Hintertür ist auf dem Server installiert. Dabei handelt es sich um ein kleines, in Rust geschriebenes Programm, das sich als legitimer Systemprozess unter Namen wie tarnt (kworker/u:8:0), fc-cache oder auch chronyd.

Es stellt die Kommunikation mit einem Befehls- und Kontrollserver her und wartet auf den Empfang von Anweisungen. Um seinen Datenverkehr zu verbergen, gibt er seine Kommunikation als legitimen NTP-Datenverkehr (Network Time Protocol) aus.

Während Sansec bisher keine Tracking-Aktivitäten beobachtet hat, eröffnet das Vorhandensein von Hintertüren den Weg für Datendiebstahl.

Welche Maßnahmen sollten ergriffen werden?

Das Anwenden des Adobe-Patches ist der erste Notfallschritt. Da die Ausnutzung jedoch einige Tage vor der Veröffentlichung des Patches begann (Zero-Day-Fehler).) sollten Systeme auf bestehende Kompromittierungen überprüft werden.

Adobe empfiehlt dringend eine vollständige Rotation aller Verschlüsselungsschlüssel und Anmeldeinformationen (Administratorkennwörter, API-Tokens, Zahlungsschlüssel usw.).

Anzeichen einer Kompromittierung, wie etwa ein ungewöhnlicher Anstieg von E-Mails mit Zahlungsfehlern oder das Vorhandensein verdächtiger Prozesse, sollten Administratoren alarmieren.