jithinkrishnanrs/stylesmuggler-ioc-toolkitStyleSmuggler (CVE-2026-75650) IOC-Toolkit für Magento Open Source und Adobe Commerce. Erkennen Sie kompromittierte Shops, Rust-Implantate, PHP-Webshells, Persistenz-Artefakte und bekannte Indikatoren für eine Kompromittierung.
Magento-Zero-Day · Adobe-Commerce-Zero-Day · CVE-2026-75650 · APSB26-146 · VULN-39341 · nicht authentifizierte RCE · Magento-Malware · Entfernung von Magento-Backdoors · Magento-2.4.9-Schwachstelle · Rust-Implantat · GraphQL-Styles-Injection · PHP-Web-Shell
Community-Indikatoren für Kompromittierung (IOCs), ein Kompromittierungs-Scanner sowie Anleitungen zur Abschwächung und zum Patchen für StyleSmuggler (CVE-2026-75650) — die nicht authentifizierte RCE in Magento Open Source / Adobe Commerce, die von Sansec am 5. September 2026 offengelegt wurde, mit bestätigter Ausnutzung in freier Wildbahn ab 4. September 2026. Adobe veröffentlichte am 7. September 2026 einen offiziellen Fix, APSB26-146. Wenn Sie nach „StyleSmuggler IOC“, „CVE-2026-75650“, „APSB26-146“, „VULN-39341“, „Magento fc-cache malware“, „Magento chronyd backdoor“, „gvfsd-user Magento“ oder „Magento GraphQL styles RCE“ gesucht haben, ist dies das Repository, das Sie suchen.
Dies ist ausschließlich ein defensives Toolkit. Es enthält Erkennungssignaturen, einen Kompromittierungs- Scanner sowie Härtungs- und Blockierungsregeln, die auf veröffentlichten, aus erster Hand stammenden Incident-Berichten basieren. Es enthält keinen Exploit-Code, keinen Proof-of-Concept-Trigger und nichts, was die Angriffsnutzlast erzeugt. Wenn Sie danach suchen, sind Sie im falschen Repository — patchen und jagen Sie stattdessen.
| Schwachstelle | StyleSmuggler (Sansecs Bezeichnung) — CVE-2026-75650 |
| Hersteller | Adobe (Magento Open Source, Adobe Commerce) |
| CVE | CVE-2026-75650, zugewiesen am 2026-09-07 |
| Adobe-Bulletin | APSB26-146, veröffentlicht am 2026-09-07 20:20 UTC, Priorität 1 (höchste) |
| Ebenfalls erforderlich | APSB26-138 (Adobes reguläres Commerce-Update für September 2026, isolierter Patch 249-2026-09-001-CE, veröffentlicht am 2026-09-08). Adobe gibt an, dass VULN-39341 zusätzlich dazu und nicht anstelle davon angewendet werden muss. |
| CVSS | 10.0 (3.1 und 4.0) — Kritisch. Vollständiger 3.1-Vektor: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| CWE | CWE-1336, Improper Neutralization of Special Elements Used in a Template Engine |
| CISA KEV | Am 2026-09-08 in CISA's Known Exploited Vulnerabilities-Katalog aufgenommen. Frist zur Behebung für die zivilen Bundesbehörden der Exekutive (FCEB): 2026-09-11. CISA's Eintrag kennzeichnet dies zudem als forensische/IR-Triage erfordernd, mit bekannter Nutzung in Ransomware-Kampagnen als „Unknown". Kein reines Magento-Community-Problem mehr — dies ist nun eine bundesweit erfasste, aktiv ausgenutzte RCE. |
| Offizieller Patch | Ausgeliefert. Hotfix VULN-39341. Die Abdeckung ist nicht universell — siehe die Tabelle unten. |
| Authentifizierung erforderlich | Keine — nicht authentifiziert |
| Öffentlicher Exploit-Code | Kein offizieller PoC von Adobe/Sansec, aber bestätigende Berichte erwähnen ein öffentliches GitHub-Repo (erstellt ca. 8. Sept.), das sich selbst als Reproduktion der vollständigen Kette durch ein Forschungslabor beschreibt — „kein öffentlicher Exploit-Code" ist schwächer, als es klingt. Siehe docs/VULNERABILITY.md. |
| Betroffene Versionen | Von Sansec auf sauberem Magento Open Source 2.4.7, 2.4.8, 2.4.9 reproduziert; das erste bestätigte Opfer betrieb 2.4.6-p15 vollständig gepatcht (mit vorherigen Patches) |
| Ausnutzung | Aktiv seit 2026-09-04 22:20 UTC; fortgesetzt bis zur Patch-Veröffentlichung; mindestens drei unabhängige Toolkits bestätigt, die denselben Einstiegspunkt bis zum 2026-09-14 ausnutzen. Ein Exploit-Tracking-Netzwerk meldet über 500 verschiedene Quell-IPs seit dem 9. Sept. Telemetrie von Drittanbieter-WAFs (Imperva) meldet beobachtete Ziele mit Schwerpunkt auf Einzelhandel (~39,5 %), Lifestyle (~19,5 %) und Gesundheitswesen (~17,9 %) — Momentaufnahmen der Sichtbarkeit einzelner Anbieter, keine Aussage über die Gesamtheit der verwundbaren Shops. |
| Bekannte Rust-Implantat-Varianten | [kworker/u:8:0] (4. Sept.) → fc-cache v2.1.4 (6. Sept.) → chronyd v2.1.5 (7. Sept.) — derselbe Akteur, dieselbe Agent-ID, ansteigende Versionsnummern. Beim chronyd-Build wurde beobachtet, dass er sich ohne Cron-Eintrag und mit einem PID-1-Elternprozess selbst neu startet. |
| Zweiter, unabhängiger Angreifer | PHP-Webshell in pub/media/catalog/product/cache/, vorausgegangen von einer DNS-exfiltrierenden Recon-Sonde — unabhängig vom Rust-Implantat, bestätigt am 2026-09-07 |
| Drittes, eigenständiges Toolkit | Bestätigt am 2026-09-14. Eine Remote-File-Include-Backdoor, die direkt in die Kern-Framework-Datei vendor/magento/framework/App/View.php eingefügt wurde, gesteuert über ein Cookie (gl_google_advisor_824808), das als Ad-Tech-Tracking getarnt ist. Ruft bei Bedarf eine Remote-Payload ab und führt sie aus, löscht dann die temporäre Datei — zwischen den Anfragen liegt nichts auf der Festplatte außer der einen manipulierten Zeile in einer Vendor-Datei. |
| Detonation ohne die E-Mail | Bestätigt am 2026-09-14. Eine zweite Kette erreicht vollständige Codeausführung über POST /paypal/transparent/response/ (PHP-Quellcode im Query-String), ohne jemals die „failed payment"-E-Mail zu rendern — Marker MGPROOF::/MGKWSIM::, direkte Befehlsausführung über einen kwc-Parameter. Gegenmaßnahmen, die allein auf dem E-Mail-Trigger aufbauen, decken dies nicht ab. |
| Bekannte Zustellvektoren | GraphQL-Parameter styles[]; ungültiger Store-Code, protokolliert in var/log/system.log; Datei hochgeladen über Magentos benutzerdefinierte Kundenoptionen; die Store:-Header-Injection des unabhängigen zweiten Angreifers; PHP-Quellcode im Query-String von /paypal/transparent/response/ (E-Mail-unabhängig) |
| Auswirkung | Remote-Code-Ausführung → persistente Rust-basierte Backdoor, unabhängige PHP-Webshell, eine stealthy Framework-Level-RFI-Backdoor, Redis-Session-Harvesting, Offenlegung von Zugangsdaten/Secrets über app/etc/env.php |
| Produkt | Abgedeckt durch APSB26-146 | Kein offizieller Fix |
|---|---|---|
| Adobe Commerce (inkl. B2B, Cloud) | 2.4.4 – 2.4.9 | unter 2.4.4 |
| Adobe Commerce B2B | 1.3.3 – 1.5.3 | unter 1.3.3 |
| Magento Open Source | nur 2.4.6 – 2.4.9 | 2.4.5 und darunter |
Wenn du eine ältere, nicht unterstützte Version verwendest, liefert Adobe dir keinen Fix, obwohl
du genauso ausnutzbar bist. Siehe docs/PATCHING.md für deine Optionen
— einschließlich eines Hinweises für Mage-OS-Nutzer, die ein dediziertes Notfall-Release
(3.5.0) erhalten statt Adobes Commerce-spezifischem Hotfix-Paket.
Diese Informationen ändern sich schnell. Gleiche sie mit den Primärquellen ab, bevor du
handelst: Sansecs Advisory und
Adobes Bulletin.
Siehe docs/TIMELINE.md für ein laufendes Protokoll und zitiere deine Quellen, wenn
du hier etwas aktualisierst.
Magentos eigener GraphQL-Parameter styles und dessen auf Dependency-Injection basierendes
Datei-Scanning werden als dateibasiertes Primitiv für aufgeschobene Ausführung missbraucht. Die ursprünglich
dokumentierte Kette hat zwei Stufen, aber — Stand von Sansecs Update vom 14. September — ist sie nicht
die einzige bestätigte Kette, und die Detonation erfordert nicht immer das, was Stufe zwei
ursprünglich beschrieb:
