Wir haben eine kritische Schwachstelle für nicht authentifizierte Remote-Codeausführung (Remote Code Execution, RCE) untersucht, die als CVE-2026-75650 verfolgt und StyleSmuggler genannt wird. Die Security Intelligence Group von Akamai kann aktive Exploit-Versuche für diese Schwachstelle bestätigen.
Die Schwachstelle verfügt über eine maximale CVSS‑Bewertung von 10,0 und es ist keine Authentifizierung oder Nutzerinteraktion erforderlich, um sie auszunutzen.
Angreifer schmuggeln schädlichen PHP‑Code über HTTP‑Header und -Parameter in die Magento-Vorlagenverarbeitungskette ein und führen ihn später während des automatisierten E‑Mail-Renderings aus.
Basierend auf unserer Untersuchung blockiert der Command-Injection-Schutz von Akamai Adaptive Security Engine (ASE) die primären GraphQL-Header- und -Parameterbasierten Exploit-Vektoren bereits nativ, sodass keine neue Regelbereitstellung erforderlich ist.
Wir validieren weiterhin die Erkennungsabdeckung über alle beobachteten Exploit-Vektoren für diese Schwachstelle hinweg.
Betroffene Kunden sollten den offiziellen Hotfix von Adobe (APSB26-146/VULN-39341) so bald wie möglich anwenden.
CVE-2026-75650 ist eine kritische RCE‑Schwachstelle, die Adobe Commerce, Adobe Commerce B2B und Magento Open Source betrifft. Sie ermöglicht es einem nicht authentifizierten Angreifer, PHP‑Code in die Vorlagen-Engine der Plattform zu injizieren und später auf dem Server auszuführen.
Die Schwachstelle wird seit Anfang September 2026 aktiv in freier Wildbahn ausgenutzt, was Adobe dazu veranlasst hat, ein ungeplantes Notfall-Sicherheitsupdate zu veröffentlichen.
Ein Angriff wird in vier Schritten durchgeführt:
Ein Angreifer sendet eine Anfrage an den GraphQL-Endpoint von Magento mit schädlichem PHP‑Code, der in einem HTTP‑Header oder -Parameter verborgen ist.
Magento protokolliert den nicht erkannten Wert, wobei der PHP‑Code des Angreifers unbeabsichtigt in einer serverseitigen Protokolldatei gespeichert wird.
Eine Folgeanfrage löst die Vorlagen-Engine von Magento aus, in der Regel durch Generieren einer standardmäßigen Transaktions-E‑Mail.
Während des Renderings lädt die Vorlagen-Engine die vergiftete Protokolldatei und führt den eingebetteten PHP‑Code aus, sodass der Angreifer remote Code ausführen kann.
Da die Ausnutzung keine Authentifizierung oder Nutzerinteraktion erfordert, ist jede zugängliche, nicht gepatchte Instanz gefährdet.
Die Schwachstelle besteht in den Versionen 2.4.4 bis 2.4.9 von Adobe Commerce und Magento Open Source sowie in Adobe Commerce B2B 1.3.3 bis 1.5.3. Nutzer sollten die von Adobe in APSB26-146 (Hotfix VULN-39341) bereitgestellten Sicherheitsupdates installieren, um diese Schwachstelle zu beheben.
Basierend auf unserer Untersuchung blockiert der Command-Injection-Schutz der Adaptive Security Engine von Akamai App & API Protector die primären GraphQL-Header- und -Parameterbasierten Exploit-Vektoren nativ, ohne dass eine neue Regel erforderlich ist. Bestehende ASE‑Regeln erkennen und stoppen bereits die PHP-/Command-Injection-Muster, die in den beobachteten StyleSmuggler-Ausnutzungsversuchen verwendet wurden, die wir analysiert haben. Zum Zeitpunkt dieses Berichts wurde kein öffentlicher, vollständig funktionsfähiger Proof of Concept für diese Schwachstelle beobachtet.
Wir validieren weiterhin die Erkennungsabdeckung über alle beobachteten und neuen Exploit-Vektoren für diese Schwachstelle hinweg. Während die WAF-Schutzfunktionen (Web Application Firewall) von Akamai bekannte Exploit-Muster identifizieren und blockieren können, ist die effektivste Verteidigung weiterhin die sofortige Anwendung des Anbieterpatches. Angesichts des Schweregrads dieses Problems sollten Sie die Updates so bald wie möglich anwenden.
Die Akamai Security Intelligence Group wird weiterhin sowohl für unsere Kunden als auch für die gesamte Sicherheitscommunity solche Bedrohungen überwachen, Berichte darüber erstellen und Maßnahmen zur Abwehr entwickeln. Besuchen Sie unsere Forschungs-Homepage und folgen Sie uns in den sozialen Medien, um über weitere Neuigkeiten von der Akamai Security Intelligence Group informiert zu werden.
© 2026 Akamai Technologies
