StyleSmuggler: het Magento-lek van september 2026 en wat je nu moet doen
Een kritiek lek in Magento 2.4.4 tot en met 2.4.9 wordt actief misbruikt. Wat StyleSmuggler is, hoe je controleert of je shop veilig is en welke stappen je moet zetten.
Begin september 2026 ontdekte het Nederlandse securitybedrijf Sansec een lek in Magento en Adobe Commerce dat op dat moment al actief werd misbruikt. Het lek kreeg de naam StyleSmuggler en het nummer CVE-2026-75650. Adobe gaf het de hoogst mogelijke ernstscore: CVSS 10.0.
Heb je een Magento 2 webshop, lees dan even door. Dit is geen lek waar je rustig de volgende onderhoudsronde voor afwacht.
Wat is er aan de hand?
Via StyleSmuggler kan een aanvaller zonder in te loggen eigen code uitvoeren op de server van je webshop. De aanval misbruikt het templatesysteem van Magento: via zogeheten styles-eigenschappen wordt PHP-code binnengesmokkeld langs de bestaande beveiliging. Die code wordt vervolgens uitgevoerd op het moment dat Magento een e-mail opbouwt, bijvoorbeeld een melding over een mislukte betaling.
Wat aanvallers daarna doen, is het echte probleem. In de aanvallen die Sansec zag, werd een kleine backdoor op de server gezet die zich voordoet als een gewoon systeemproces. Daarmee heeft een aanvaller blijvend toegang: tot je klantgegevens, je bestellingen en in het ergste geval tot je betaalpagina.
Welke shops zijn kwetsbaar?
- Magento Open Source en Adobe Commerce 2.4.4 tot en met 2.4.9, inclusief alle patchversies tot en met de releases van augustus 2026.
- Oudere versies (2.4.0 tot 2.4.3, en de 2.3- en 2.2-reeks) zijn ook kwetsbaar. Adobe ondersteunt die niet meer en levert er dus geen officiële fix voor.
Kort gezegd: vrijwel elke Magento 2 shop die niet sinds 7 september is gepatcht, loopt risico.
De tijdlijn
| Datum | Wat er gebeurde |
|---|---|
| 23 augustus 2026 | Eerste, nog mislukte aanvalspogingen |
| 4 september 2026 | Actief misbruik begint, Sansec ontdekt het lek |
| 5 september 2026 | Eerste WAF-regels tegen de aanval actief |
| 7 september 2026 | Adobe publiceert een noodpatch (APSB26-146) |
Tussen het begin van de aanvallen en de officiële patch zaten drie dagen. Shops die in die periode geen extra bescherming hadden, doen er goed aan niet alleen te patchen, maar ook te controleren of er al iemand binnen is geweest.
Wat moet je doen?
1. Installeer de hotfix
Adobe heeft een hotfix uitgebracht onder de naam VULN-39341 (beveiligingsbulletin APSB26-146). Die wordt als Composer-patch geïnstalleerd. Let op: de fix zit níét in het reguliere beveiligingspakket van september, je moet hem apart toepassen. Met de Quality Patches Tool kan je developer controleren of VULN-39341 als Applied in de lijst staat.
Draai je een versie ouder dan 2.4.4? Dan is er geen officiële patch. Er zijn backports uit de community beschikbaar, maar dit is vooral het moment om serieus werk te maken van een upgrade.
2. Controleer of je shop al is binnengedrongen
Een patch sluit de deur, maar gooit niemand naar buiten die al binnen is. Laat daarom ook controleren op sporen van een inbraak. Denk aan:
- onbekende processen die zich voordoen als systeemprocessen, zoals
kworker,fc-cacheofchronyd, maar draaien onder de gebruiker van je webshop; - onverwachte PHP-bestanden in de mediamap, bijvoorbeeld onder
pub/media/catalog/product/cache/; - opvallend veel e-mails over mislukte betalingen in augustus en september, of templatefouten in de exceptionlogs.
Sansec houdt in hun analyse een actuele lijst met kenmerken bij. Een scanner als eComscan kan veel hiervan automatisch nalopen.
3. Vervang wachtwoorden en sleutels
Was je shop kwetsbaar in de periode van de aanvallen, ga er dan voor de zekerheid van uit dat gevoelige gegevens zijn ingezien. Vervang de encryptiesleutel van Magento en alle wachtwoorden en tokens die daarmee zijn beveiligd: beheerderswachtwoorden, API-tokens, sleutels van je betaalprovider en SSH- of deploysleutels.
4. Zet een webapplicatiefirewall in
Een WAF houdt veel aanvallen tegen voordat ze je webshop bereiken. Bij StyleSmuggler waren shops achter een WAF die snel regels toevoegde, al beschermd voordat Adobe met een patch kwam. Ook de grote WAF-leveranciers werken aan regels voor dit lek. Heb je nog geen WAF, dan is dit een goed moment om er een te nemen.
Wat dit zegt over onderhoud
StyleSmuggler laat zien waarom technisch beheer geen sluitpost is. Een lek dat al wordt misbruikt voordat er een patch is, kun je niet voorkomen. Wat je wel in de hand hebt, is hoe snel je reageert: of je een acceptatieomgeving hebt waarop je een patch dezelfde dag kunt testen, of je shop op een ondersteunde versie draait zodat er überhaupt een patch komt, en of iemand de meldingen van Adobe en securitybedrijven actief volgt.
Twijfel je of jouw webshop veilig is, of wil je dat we even meekijken? Neem contact met ons op. We controleren het graag voor je.