CISA fügt Adobe Commerce Zero-Day mit CVSS 10 in Katalog aktiver Ausnutzung ein, seit dem 4. September mit Rust-Backdoor aktiv
StyleSmuggler wurde am 8. September in das KEV-Katalog der CISA aufgenommen. Es handelt sich um eine nicht authentifizierte RCE mit CVSS 10 im Template-Engine von Magento, mit einer als NTP-Server getarnten Rust-Backdoor.
Die CISA hat am 8. September die CVE-2026-75650, auch bekannt als StyleSmuggler, in den Katalog der Bekannten Ausnutzungen aufgenommen. Die Schwachstelle ist eine nicht authentifizierte Remote-Code-Ausführung in Adobe Commerce, Adobe Commerce B2B und Magento Open Source mit einem CVSS von 10, und wird seit dem 4. September aktiv ausgenutzt, drei Tage bevor Adobe den Hotfix VULN-39341 am 7. September veröffentlichte.
Die Technik ist elegant und daher gefährlich. Laut Sansec, die die Aktivität gemeldet hat, kann ein nicht authentifizierter Aufrufer PHP in die Template-Engine von Magento einschleusen, indem er Style-Eigenschaften nutzt, und dessen Ausführung erzwingen, wenn der Server die E-Mail "Payment Transaction Failed Reminder" rendert. Der Auslöser ist eine transaktionale Nachricht, die die Plattform eigenständig ohne Interaktion des Kunden auslöst. Es gibt kein Login, keinen Warenkorb, keinen Checkout.
Rust-Backdoor, C2 getarnt als NTP
Die Angreifer installieren eine Rust-Backdoor für Linux und PHP-Web-Shells in den kompromittierten Shops. Der Kommando- und Kontrollkanal tarnt sich als NTP-Server, was bedeutet, dass UDP-Verkehr auf Port 123 mit einem Host kommuniziert, der bei oberflächlicher Analyse von Firewall-Logs nicht auffällt. Für die Sicherheitsoperation ist dies die schlimmste Art von Rauschen: ein legitimes Protokoll, das eine Exfiltration- und persistente Kommando-Brücke verbirgt. Sansec weist darauf hin, dass die Persistenz selbst nach einem Patch leicht wiederherzustellen ist, wenn die Reinigung die Web-Shell nicht entfernt hat.
Die Schwere des CVSS 10 hat eine klare Lesart: nicht authentifiziert, remote, Netzwerkvektor, ohne Benutzerinteraktion, mit vollem Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit. Es gibt keine zuverlässige partielle Minderung. Die Empfehlung von Adobe ist die Anwendung des VULN-39341, eines Hotfixes für Composer, und nicht eines vollständigen Release-Updates. Der Punkt, auf den man achten sollte, ist, dass viele Magento-Operationen mit Forks und Drittanbieter-Modulen arbeiten, die bei einem Rebase fehlschlagen.
Wo die Exponierung wirklich schmerzt
Die weltweit installierte Basis von Magento übersteigt 200.000 aktive Shops, mit einer starken Konzentration im gehobenen Einzelhandel in Europa und den USA. Marken wie Coca-Cola, Ford und Nike haben irgendwann Schaufenster in Magento betrieben; heute besteht die typische Basis aus europäischen und amerikanischen Einzelhändlern, die auf Integratoren angewiesen sind. Die Vereinigten Staaten machen etwa 30% des Magento-Marktes laut BuiltWith aus, gefolgt von Deutschland und dem Vereinigten Königreich. Für diese Operationen kommt der Exploit, bevor das Response-Team eingreift.
Brasilien erscheint an zweiter Stelle aufgrund der Größe der Magento-Basis im nationalen E-Commerce. Magazine Luiza, Renner und Riachuelo haben oder hatten Fronten, die auf dem Stack liefen, und ein großer Teil der langen Schwanz von B2B-Schaufenstern in Brasilien funktioniert mit Adobe Commerce oder Magento Open Source, das von lokalen Integratoren bereitgestellt wird. Die Exponierung ist nicht hypothetisch: ein als NTP getarntes Rust-Binärprogramm umgeht die standardmäßig konfigurierten Perimeterfirewalls von nationalen Anbietern wie Locaweb und KingHost, die einen großen Teil dieses Schwanzs beherbergen.
Adobe hatte bis zum Abschluss dieses Berichts keine Stellungnahme zu den Ursprüngen der Angriffe abgegeben. Die CISA setzte den 29. September als Frist für US-Bundesbehörden zur Anwendung des Patches, ein Zeitraum von drei Wochen, der die Dringlichkeit widerspiegelt, aber auch die Realität von Patches in kommerzieller Produktion.
Das Detail, das der Großteil der Berichterstattung verpasst hat
Der Auslöser für die Ausführung ist eine transaktionale E-Mail, und das verändert die Verteidigungsoberfläche. WAF-Regeln, die POST-Anfragen an /checkout oder /admin filtern, sehen die Ausnutzung nicht stattfinden, da der Payload über den renderten Template-Pfad auf der Serverseite reist. Teams, die sich nur auf Edge-Schutz verlassen, bleiben blind. Die eigentliche Priorität, jenseits des Patches, ist, den Storefront zu auditieren, um nach bereits zwischen dem 4. und 8. September platzierten Web-Shells zu suchen, dem Zeitraum, in dem die Ausnutzung ohne öffentliche Korrektur lief.