Adobe-Lücke gefährdet E-Commerce-Plattformen in der DACH-Region

Adobe hat Anfang September Sicherheitsupdates für Adobe Commerce und Magento Open Source veröffentlicht. Der Grund: Eine kritische Sicherheitslücke (CVE-2026-75650, CVSS-Score 10.0) wurde bereits aktiv ausgenutzt. Das Sicherheitsunternehmen Sansec identifizierte erste Angriffe ab dem 4. September 2026 und benannte die Schwachstelle intern „StyleSmuggler".

Angriffsmethode: Backdoor und Web-Shells

Die Besonderheit dieses Vorfalls liegt in der Angriffsweise. Cyberkriminelle nutzen die Lücke, um zwei unterschiedliche Malware-Varianten auf kompromittierten Servern zu installieren: eine Rust-basierte Backdoor und PHP-Web-Shells. Diese ermöglichen Angreifern persistenten Zugriff auf Systeme – auch nach dem Schließen der ursprünglichen Sicherheitslücke.

Damit wird ein klassisches Szenario offensichtlich: Exploits auf Handelsplattformen sind nicht nur kurzfristige Attacken. Sie dienen häufig als Einfallstor für langfristige Kompromittierungen. Betroffen sind insbesondere Unternehmen, die noch keine Patches eingespielt haben.

Risiko für deutschsprachigen E-Commerce

Für die DACH-Region stellt diese Lücke ein erhebliches Risiko dar. Magento ist in Deutschland, Österreich und der Schweiz weit verbreitet – sowohl in der Open-Source- als auch in der kommerziellen Variante. Besonders mittelständische und größere Online-Händler setzen auf diese Plattform. Ein Angriff dieser Dimension kann zu Datenverlust, Kundendaten-Kompromittierung und erheblichen Reputationsschäden führen.

Die Tatsache, dass Sansec bereits aktive Exploits in freier Wildbahn dokumentiert hat, bedeutet: Angreifer kennen die Lücke. Ungepatschte Systeme stehen unter unmittelbarer Gefahr. Die Installation von Updates ist keine optionale Maßnahme, sondern eine unmittelbare Notwendigkeit.

Handlungsempfehlungen für Entscheidungsträger

Führungskräfte sollten folgende Schritte priorisieren:

• Bestandsaufnahme: Welche Commerce-Versionen laufen im eigenen Unternehmen? Sind Magento Open Source oder Adobe Commerce im Einsatz?
• Patch-Management: Updates müssen sofort eingespielt werden – idealerweise in den nächsten 24–48 Stunden nach Prüfung in einer Test-Umgebung.
• Forensische Prüfung: Unternehmen sollten überprüfen, ob ihre Systeme bereits kompromittiert wurden. Verdächtige PHP-Dateien oder ungewöhnliche Prozesse sind Indikatoren.
• Incident-Response-Plan: Für den Fall der Fälle sollte ein etabliertes Verfahren existieren, wer im Ernstfall informiert wird und wie reagiert wird.

Warum maximal kritisch ist das richtig

Der CVSS-Score von 10.0 ist nicht übertrieben. Die Lücke erlaubt Remote Code Execution ohne vorherige Authentifizierung. Das bedeutet: Jeder mit Internetzugriff kann angreifen. Kombiniert mit der bereits laufenden aktiven Ausnutzung entsteht ein Zeitfenster, in dem Handeln erforderlich ist.

Für Geschäftsführer und IT-Verantwortliche gilt: Diese Sicherheitslücke verdient Aufmerksamkeit auf der strategischen Agenda. Sie ist nicht nur ein technisches Problem – sie ist ein Geschäftsrisiko, das sofortige Aufmerksamkeit erfordert.