Magento-Hotfix reicht nach Zero-Day nicht aus

Für Betreiber von Magento Open Source und Adobe Commerce ist CVE-2026-75650 nicht mit der Installation eines Hotfixes erledigt. Adobe hat das Sicherheitsbulletin APSB26-146 am 7. September 2026 veröffentlicht, die Schwachstelle mit Priorität 1 eingestuft und den CVSS-Höchstwert 10,0 genannt. Nach Angaben von Adobe ermöglicht die Lücke ohne Anmeldung beliebige Codeausführung auf betroffenen Installationen und wird bereits aktiv ausgenutzt.

Betroffen sind laut Adobe mehrere 2.4.4- bis 2.4.9-Zweige von Adobe Commerce und Magento Open Source sowie mehrere Versionen von Adobe Commerce B2B. Der Fix wird nicht als reguläres Release ausgeliefert, sondern als Hotfix VULN-39341. Für Händler im E-Commerce ist das deshalb kein normales Update-Thema, sondern ein Vorgang für den Incident-Prozess.

Patchstatus muss belegbar sein

Adobe hat seine Anleitung am 8. September 2026 konkretisiert. In der Adobe-Commerce-Knowledge-Base nennt das Unternehmen die betroffenen Versionen, die passenden Patch-Dateien und den Ablauf der Hotfix-Installation. Für Adobe Commerce on Cloud beschreibt Adobe zusätzlich eine Prüfung über das Quality Patches Tool; maßgeblich ist der Status des Patches VULN-39341.

Shopbetreiber sollten sich daher nicht mit der pauschalen Aussage zufriedengeben, der Patch sei installiert. Wer Betrieb, Hosting oder Wartung an Agenturen, Hoster oder Managed-Service-Dienstleister ausgelagert hat, braucht einen konkreten Nachweis: auf welcher Instanz welche Patch-Datei eingespielt wurde, ob Staging und Produktion gleich behandelt wurden und wer die erfolgreiche Anwendung geprüft hat. Bei einer aktiv ausgenutzten Remote-Code-Execution-Lücke ist ein unklarer Patchstand ein unmittelbares Geschäftsrisiko.

Der Hotfix bereinigt keine bereits kompromittierten Shops

Der Schwerpunkt verschiebt sich damit gegenüber der ersten Angriffswelle auf Magento-Shops. Nicht mehr allein die Existenz der Lücke ist entscheidend, sondern ob Systeme seit Beginn der Angriffe übernommen wurden und ob Zugangsdaten abgeflossen sein können.

Die forensische Primäranalyse kommt von Sansec. Das Sicherheitsunternehmen beschreibt die Kampagne unter dem Namen StyleSmuggler und datiert die ersten bestätigten Angriffe auf den 4. September 2026. Laut Sansec-Analyse schließt der Adobe-Hotfix die Schwachstelle, entfernt aber keine Kompromittierung, die vor der Installation bereits erfolgt ist.

Für Händler ist das der zentrale Punkt: Zwischen den ersten bestätigten Angriffen und dem Hotfix lagen mehrere Tage. In dieser Zeit konnten Angreifer nach Sansec unter anderem getarnte Hintergrundprozesse anlegen, etwa mit Namen wie kworker, fc-cache oder chronyd. Sansec beschreibt außerdem PHP-Webshells im Medienverzeichnis, beispielsweise im Produktbild-Cache. Eine leere Crontab oder ein auf den ersten Blick sauber wirkendes System reicht deshalb nicht als Entwarnung.

Prüfung und Rotation gehören zusammen

Magento-Teams sollten Logs, laufende Prozesse, Cron-Spool-Dateien, verdächtige PHP-Dateien unter pub/media und ausgehende Verbindungen prüfen lassen. Wer keine eigene Forensik leisten kann, sollte Dienstleister ausdrücklich mit einer Kompromittierungsprüfung beauftragen, nicht nur mit der Patch-Installation. Besonders relevant ist das für Shops mit vielen Erweiterungen, Payment-Anbindungen, ERP-Integrationen oder automatisierten Deployments.

Adobe fordert nach dem Patch außerdem eine Rotation der Zugangsdaten. Das betrifft nicht nur den Commerce-Encryption-Key, sondern unter anderem Admin-Passwörter, REST-, SOAP- und GraphQL-Integrationstokens, OAuth-Secrets, Payment-Gateway-Zugänge, Datenbankpasswörter, SSH- und Deploy-Keys sowie API-Schlüssel für Versand-, Steuer- und andere Drittanbieter-Erweiterungen.

Entscheidend sind Reihenfolge und Ort der Änderung. Zugangsdaten müssen bei den jeweiligen Quellen erneuert werden, also etwa beim Payment-Dienstleister, im Datenbanksystem, beim Hoster oder beim Drittanbieter-Service. Nur einen Schlüssel innerhalb von Commerce zu ändern, macht möglicherweise bereits abgeflossene Credentials nicht automatisch ungültig. Damit betrifft der Vorfall mehrere operative Bereiche: Checkout, Payment, Versand, Steuerberechnung, Warenwirtschaft, Hosting und Deployment.

Der nächste prüfbare Meilenstein ist deshalb kein Kalenderdatum, sondern ein Status: Hotfix installiert und belegt, Kompromittierungsscan abgeschlossen, verdächtige Funde bewertet und alle relevanten Zugangsdaten rotiert. Solange einer dieser Punkte offen ist, bleibt CVE-2026-75650 kein abgeschlossenes Update, sondern ein laufender Fall für die Sicherheit des Shops.