StyleSmuggler (CVE-2026-75650): wat Magento-merchants nu moeten doen

Begin september 2026 werden Magento- en Adobe Commerce-webshops getroffen door een zero-day waarvoor geen login, geen adminsessie en geen form key nodig was. Sansec noemde het StyleSmuggler. Adobe gaf het een CVSS-score van 10.0, de hoogst mogelijke, en bracht drie dagen na de eerste bevestigde aanval een spoedhotfix uit.

Draai je een 2.4.x-release vanaf 2.4.4 en heb je de hotfix nog niet geïnstalleerd, behandel dit dan als een incident en niet als routineonderhoud. Deze gids beschrijft wat er gebeurde, welke versies getroffen zijn, en de exacte stappen om je webshop te patchen, te onderzoeken en te beveiligen.

Wat StyleSmuggler is

CVE-2026-75650 misbruikt de verwerking van e-mailtemplates in Magento. Volgens de analyse van Sansec verloopt de aanval in twee fasen:

1. De aanvaller plaatst PHP-code in een bestand dat Magento zelf schrijft, zoals een foutrapport onder var/report/, via een request naar het PayPal transparent response-endpoint.
2. Een speciaal opgesteld GraphQL-request smokkelt daarna templatecontent mee via styles eigenschappen, die langs de bestaande templatebeveiliging glippen. De aanvaller activeert de standaard Magento-e-mail “Payment Transaction Failed Reminder”, en de geïnjecteerde code wordt uitgevoerd terwijl Magento die e-mail rendert.

Niemand hoeft de e-mail te openen. De code wordt server-side uitgevoerd tijdens het renderen. Sansec zag aanvallers hiermee een vermomd achtergrondproces starten dat verbinding maakt met een command-and-controlserver en op instructies wacht.

Tijdlijn

Getroffen versies

De APSB26-146-aankondiging van Adobe noemt deze versies als getroffen, inclusief de releases van augustus 2026 en eerder:

• Adobe Commerce 2.4.4 tot en met 2.4.9
• Adobe Commerce B2B 1.3.3 tot en met 1.5.3
• Magento Open Source 2.4.4 tot en met 2.4.9

Sommige analyses van derden noemen Magento Open Source vanaf 2.4.6 in plaats van 2.4.4. Vertrouw niet op dat verschil: draai je een release vanaf 2.4.4, installeer dan de fix.

Releases ouder dan 2.4.4 krijgen geen officiële patch van Adobe. Volgens Sansec heeft een derde partij backports gepubliceerd voor enkele oudere versielijnen, maar zit je op 2.4.3 of eerder, dan is het eerlijke antwoord dat je niet-ondersteunde software draait met een bekende kritieke exploit, en dat je nu een upgradeplan moet starten.

Stap 1: installeer de APSB26-146-hotfix

De fix is hotfix VULN-39341, verspreid als VULN-39341-composer-patches.zip via de aankondiging van Adobe en repo.magento.com. Adobe levert voor sommige versielijnen ook versiespecifieke patchbestanden, dus download het bestand dat precies bij jouw versie past.

Installeer hem eerst op staging als dat binnen uren lukt, niet dagen. Omdat het lek actief wordt misbruikt, is een kort onderhoudsvenster op productie een redelijke afweging.

# check your exact version first
bin/magento --version
composer show magento/product-community-edition 2>/dev/null || composer show magento/product-enterprise-edition

# after unzipping, apply the composer patch from the project root
git apply VULN-39341_composer.patch   # or: patch -p1 < VULN-39341_composer.patch

bin/magento setup:di:compile
bin/magento cache:flush

Volg voor jouw setup het Adobe-artikel “How to apply a composer patch provided by Adobe”. Op Adobe Commerce on Cloud voeg je de patch toe aan de map m2-hotfixes en deploy je opnieuw. Sansec raadt aan de patchstatus te controleren met de Quality Patches Tool:

vendor/bin/magento-patches -n status | grep "39341\|Status"

Stap 2: installeer ook de septemberpatch APSB26-138

APSB26-138, uitgebracht op 8 september 2026, is de reguliere maandelijkse beveiligingsupdate. Hij verhelpt acht kwetsbaarheden, allemaal beoordeeld als Critical, waaronder stored XSS, onjuiste autorisatie en path traversal. Adobe gaf aan bij de release niet op de hoogte te zijn van misbruik van deze lekken in de praktijk.

Het belangrijke detail: de StyleSmuggler-hotfix zit niet in het geïsoleerde patchbestand van september. Het knowledge base-artikel van Adobe zegt dat je beide moet installeren. Geïsoleerde septemberpatches zijn beschikbaar voor 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15, 2.4.5-p17 en 2.4.4-p18.

Stap 3: controleer op tekenen van een inbraak

Het misbruik begon drie dagen voordat er een patch was. Patchen sluit de deur, maar verwijdert niemand die al binnen is. Sansec heeft indicatoren gepubliceerd die je vandaag nog kunt controleren.

Processen en cron

Zoek naar achtergrondprocessen die zich voordoen als systeemtools, bijvoorbeeld met namen als [kworker/u:8:0], fc-cache of chronyd die draaien als je webgebruiker, en naar onbekende crontab-regels.

ps -eo user,pid,ppid,cmd | grep -E "fc-cache|chronyd|kworker" | grep -v grep
crontab -l -u www-data   # use your PHP/web user

Bestanden

ls -la ~/.cache/fontconfig/ 2>/dev/null
ls -la /tmp | grep -E "\.fc-|\.chrony-"
find pub/media -name "*.php" -mtime -45
find pub/media/catalog/product/cache -path "*ss_*" -name "sync_*.php"

Elk PHP-bestand onder pub/media is een alarmsignaal. Die map hoort alleen assets te bevatten.

Logs en netwerk

• Zoeken var/log/exception.log op Laminas\Loader\Exception\InvalidArgumentException.
• Zoek in je maillogs of bij je provider voor transactionele e-mail naar pieken in “Payment Transaction Failed”-mails.
• Controleer de webserverlogs op requests naar /paypal/transparent/response/ met ongebruikelijke querystrings en op GraphQL-POST's met styles.
• Controleer uitgaande verbindingen van webnodes naar de command-and-controladressen die Sansec noemt, zoals 99.84.67.186.

De eComscan-scanner van Sansec herkent StyleSmuggler-implants. Vind je iets, isoleer dan de server, bewaar logs en bestandstijdstempels voor forensisch onderzoek, en bouw opnieuw op vanuit een bekende schone bron in plaats van bestanden een voor een te verwijderen.

Stap 4: roteer de encryptiesleutel en alle inloggegevens

Dit is de stap die de meeste teams overslaan, en Adobe is er duidelijk over. Roteer na het installeren van de hotfix:

1. De Magento-encryptiesleutel
2. Alle adminwachtwoorden
3. Integratietokens voor REST, SOAP en GraphQL
4. OAuth-secrets voor apps van derden
5. Inloggegevens van de payment gateway, bij de provider
6. Inloggegevens voor de database en Fastly
7. SSH- en deploykeys, plus serviceaccounts
8. API-keys van derden voor verzending, belastingen en extensies

Adobe merkt op dat alleen de encryptiesleutel roteren geen inloggegevens ongeldig maakt die mogelijk al zijn uitgelekt. Elk geheim moet bij de bron worden gewijzigd. Voer op Adobe Commerce on Cloud de deployment opnieuw uit na het bijwerken van de inloggegevens, zodat nieuwe database-inloggegevens actief worden.

Je wijzigt de sleutel in de admin onder System > Other Settings > Manage Encryption Key. Maak eerst een back-up van app/etc/env.php en de database, en test op staging: de wijziging versleutelt opgeslagen waarden opnieuw, en extensies die hun eigen versleutelde data opslaan, kunnen extra aandacht nodig hebben.

Stap 5: voeg een WAF-laag toe

Een web application firewall geeft je tijd tussen de bekendmaking en het patchen. Volgens Sansec blokkeren de Shield-regels StyleSmuggler-pogingen sinds 5 september, en hebben ook Cloudflare en Imperva regels uitgebracht. Voor Adobe Commerce on Cloud beschrijft Sansec Fastly VCL-snippets die Adobe als virtuele patch heeft uitgerold.

Een WAF vervangt de hotfix niet. Aanvallers passen hun payloads aan, en regels vangen alleen op waarvoor ze geschreven zijn.

Mage-OS-gebruikers

Mage-OS bracht 3.5.0 uit als beveiligingsspoedrelease op 8 september 2026. Deze release neemt de StyleSmuggler-hotfix van Adobe over met extra hardening en bevat de geïsoleerde septemberpatch APSB26-138. Mage-OS patcht alleen de nieuwste releasebranch, dus upgrade naar 3.5.0 of hoger en volg daarna dezelfde controles op inbraak en dezelfde rotatie van inloggegevens.

Hardening na het incident

• Abonneer je op de security bulletins van Adobe en plan om maandelijkse patches binnen enkele dagen te installeren.
• Blokkeer het uitvoeren van PHP in pub/media en var op webserverniveau.
• Zet file integrity monitoring in op de core- en vendor/ mappen.
• Beperk uitgaand verkeer van webnodes tot wat de webshop echt nodig heeft.
• Zit je op 2.4.4 of 2.4.5, start dan een upgrade: deze versielijnen naderen het einde van de beveiligingsfixes van Adobe.

Veelgestelde vragen

Is Magento Open Source getroffen, of alleen Adobe Commerce?

Allebei. De APSB26-146-aankondiging van Adobe noemt Magento Open Source 2.4.4 tot en met 2.4.9, Adobe Commerce 2.4.4 tot en met 2.4.9 en Adobe Commerce B2B 1.3.3 tot en met 1.5.3.

Ben ik beschermd als ik de septemberpatch APSB26-138 heb geïnstalleerd?

Nee. Adobe geeft aan dat de hotfix voor CVE-2026-75650 niet in de geïsoleerde septemberpatch zit. Je hebt zowel VULN-39341 als de APSB26-138-update nodig.

Moet ik de encryptiesleutel echt roteren?

Ja. Een aanvaller die code kan uitvoeren, kan dit bestand lezen: app/etc/env.php. Daarin staan de sleutel en de database-inloggegevens. Volgens de richtlijnen van Adobe moet je de sleutel en alle inloggegevens die ermee beschermd waren roteren.

We hebben snel gepatcht. Kunnen we de forensische controles overslaan?

Het misbruik begon op 4 september, voordat er een patch bestond. Tenzij je webshop vanaf dag één achter een WAF-regel zat, is controleren op indicatoren de enige manier om het zeker te weten.

Bronnen

• Sansec: StyleSmuggler, 0-day RCE in Magento en Adobe Commerce (CVE-2026-75650)
• Adobe Experience League: kritieke beveiligingsupdate voor Adobe Commerce (APSB26-146)
• Adobe Experience League: beveiligingsupdate beschikbaar voor Adobe Commerce, APSB26-138
• CISA: CISA Adds Four Known Exploited Vulnerabilities to Catalog (8 september 2026)
• Mage-OS-releases
• Tenable: FAQ over StyleSmuggler (CVE-2026-75650)
• BleepingComputer: Adobe fixes critical Magento zero-day exploited to backdoor servers