Kritische Magento StyleSmuggler Zero-Day wird aktiv ausgenutzt

Die Magento StyleSmuggler Zero-Day wird derzeit aktiv gegen Magento- und Adobe-Commerce-Onlineshops ausgenutzt. Die kritische Schwachstelle ermöglicht es Angreifern, schädliche Inhalte über GraphQL-Anfragen in Magento einzuschleusen und anschließend Code auf dem Server auszuführen. Die ersten Angriffe wurden Anfang September 2026 entdeckt.

Betreiber von Magento-2- und Adobe-Commerce-Umgebungen sollten ihre Systeme unverzüglich kontrollieren. Besonders wichtig: Auffällige E-Mails mit fehlgeschlagenen PayPal-Transaktionen können im Zusammenhang mit einem Angriff stehen, sind für sich allein jedoch kein Beweis für eine erfolgreiche Kompromittierung.

Was ist Magento StyleSmuggler?

StyleSmuggler ist die Bezeichnung für eine Angriffsmethode gegen Magento 2 und Adobe Commerce. Die Angreifer missbrauchen dabei GraphQL-Funktionen und manipulierte Style-Daten, um schädliche Inhalte in die Magento-Umgebung einzuschleusen.

Der Angriff ist besonders gefährlich, weil die eingeschleusten Daten zunächst unauffällig erscheinen können und erst bei der späteren Verarbeitung innerhalb von Magento ihre schädliche Wirkung entfalten.

Die wichtigsten Informationen

• Produkt: Magento 2 / Adobe Commerce
• Bezeichnung: StyleSmuggler
• Typ: Zero-Day / Code Injection
• Mögliche Folge: Remote Code Execution und vollständige Kompromittierung des Onlineshops
• Angriffsweg: manipulierte GraphQL-Anfragen
• Exploit-Status: aktive Angriffe beobachtet
• Erste beobachtete Angriffe: 4. September 2026
• Öffentliche Bekanntgabe: 5. September 2026
• Maßnahme: Magento-Umgebung unverzüglich überprüfen und verfügbare Sicherheitsmaßnahmen anwenden

Warum ist StyleSmuggler kritisch?

Ein erfolgreicher Angriff kann es einem Angreifer ermöglichen, eigenen Code innerhalb der Magento-Umgebung auszuführen.

Dadurch kann ein Angreifer unter anderem:

• Malware oder Webshells installieren;
• Magento- und PHP-Dateien verändern;
• Kunden- und Bestelldaten auslesen;
• Checkout- oder Zahlungsprozesse manipulieren;
• Administratorkonten oder andere Zugänge einrichten;
• JavaScript-Skimmer installieren;
• Cronjobs oder andere Persistenzmechanismen einrichten;
• versuchen, weiteren Zugriff auf die Serverumgebung zu erhalten.

PayPal-Fehlermeldungen können ein Hinweis sein

Ein auffälliges Merkmal der beobachteten StyleSmuggler-Angriffe ist, dass Magento gezielt dazu gebracht werden kann, die E-Mail „Payment Transaction Failed Reminder“ zu erzeugen.

Dadurch können Shopbetreiber unerwartete Meldungen über fehlgeschlagene PayPal-Transaktionen erhalten.

Eine solche E-Mail ist jedoch kein Beweis dafür, dass ein Shop kompromittiert wurde. Sie sollte vielmehr als möglicher Indikator betrachtet werden, der eine weitere technische Untersuchung rechtfertigt.

Auch wenn die betreffende E-Mail aufgrund einer fehlerhaften Mailkonfiguration oder aus anderen Gründen nicht zugestellt wird, kann der eigentliche Angriff trotzdem erfolgreich gewesen sein.

Was sollten Sie jetzt tun?

1. Überprüfen Sie öffentlich erreichbare Magento-2- und Adobe-Commerce-Installationen.
2. Kontrollieren Sie Webserver-Logs auf verdächtige GraphQL-Anfragen.
3. Prüfen Sie insbesondere Anfragen an /graphql mit ungewöhnlichen styles-Parametern.
4. Kontrollieren Sie kürzlich erstellte oder veränderte PHP-, PHTML- und JavaScript-Dateien.
5. Überprüfen Sie laufende Prozesse und Cronjobs auf unbekannte Einträge.
6. Kontrollieren Sie Magento-Administratorkonten auf unbekannte Benutzer.
7. Überprüfen Sie Checkout- und Zahlungsdateien auf Manipulationen.
8. Sichern Sie relevante Logs und andere Spuren, bevor verdächtige Komponenten entfernt werden.

Technische Hinweise auf einen StyleSmuggler-Angriff

Bei den beobachteten Angriffen wurden verschiedene Indicators of Compromise (IoCs) festgestellt. Das Vorhandensein eines einzelnen Indikators beweist nicht automatisch eine Kompromittierung, sollte jedoch untersucht werden.

• ungewöhnliche POST-Anfragen an /graphql;
• GraphQL-Anfragen mit verdächtigen styles-Parametern;
• ein verdächtiger Prozess mit einer Bezeichnung ähnlich [kworker/u:8:0];
• eine verdächtige Datei beziehungsweise ein Prozess unter ~/.local/share/.gvfsd/gvfsd-user;
• unbekannte Cronjobs, die beispielsweise alle fünf Minuten ausgeführt werden;
• unerwartete Änderungen an Magento-, PHP- oder JavaScript-Dateien.

Nach einer Kompromittierung reicht ein Patch nicht aus

Wenn ein Angreifer bereits Code auf dem Magento-System ausgeführt hat, reicht das spätere Schließen der ursprünglichen Schwachstelle nicht aus.

Angreifer können Webshells, zusätzliche Benutzerkonten, Cronjobs, manipulierte PHP-Dateien oder andere Persistenzmechanismen eingerichtet haben.

Bei einer bestätigten Kompromittierung sollten relevante Zugangsdaten und Secrets überprüft und gegebenenfalls ersetzt werden. Dazu gehören Magento-Administratorkonten, Datenbank-Zugangsdaten, API-Schlüssel, Integrations-Tokens und Zugangsdaten zu angebundenen Diensten.

Bei einem Onlineshop sollte außerdem besonders sorgfältig geprüft werden, ob Checkout- oder Zahlungsprozesse manipuliert wurden.

Verantwortung für Magento-Updates und Sicherheit

Kunden ohne Managed-Magento- beziehungsweise Managed-CMS-Wartung sind selbst dafür verantwortlich, Magento, Adobe Commerce, Erweiterungen, Themes und andere Komponenten rechtzeitig zu aktualisieren und verfügbare Sicherheitsmaßnahmen anzuwenden.

Wenn ein Onlineshop aufgrund von Missbrauch, Malware oder nachweislich überfälliger Wartung ein Risiko für unsere Infrastruktur, andere Kunden oder Dritte darstellt, kann Vservs die betreffende Website oder den Dienst vorübergehend isolieren oder deaktivieren.

Dies erfolgt ausschließlich als Sicherheits- und Kontinuitätsmaßnahme, um weitere Schäden, Missbrauch oder die Verbreitung von Malware zu verhindern.

Vservs kann Magento-Umgebungen untersuchen

Bei einer kritischen Magento-Sicherheitsmeldung ist nicht nur die Installation eines Updates wichtig. Wenn eine Umgebung während eines aktiven Angriffs verwundbar und öffentlich erreichbar war, sollte zusätzlich untersucht werden, ob bereits eine Kompromittierung stattgefunden hat.

Vservs kann Magento- und Serverumgebungen technisch untersuchen, Logs und verdächtige Dateien kontrollieren und bei der Absicherung oder Wiederherstellung unterstützen.

Für einen sicheren und professionell betreuten Serverbetrieb bietet Vservs außerdem Managed VPS Hosting für anspruchsvolle Websites, Onlineshops und Unternehmensanwendungen.

Quellen

• Sansec – StyleSmuggler Magento Zero-Day
• SwissUpLabs – StyleSmuggler: Magento 2 Zero-Day