Bijgewerkt op dinsdag 9 september 2026. De kwetsbaarheid heeft inmiddels een nummer: CVE-2026-75650, met CVSS-score 10.0, de hoogst mogelijke. Adobe bracht op zondag 7 september een hotfix uit (APSB26-146, VULN-39341) en het NCSC roept op onmiddellijk te updaten. Draai je Magento of Adobe Commerce 2.4.4 tot en met 2.4.9, installeer de hotfix vandaag. Hieronder staat wat er is gebeurd, wat je nu doet en hoe wij shops in beheer hebben afgeschermd.
Wat er is gebeurd
Op 4 september om 22:40 UTC zag securitybedrijf Sansec een nieuwe aanvalscampagne op Magento-shops. Binnen enkele uren was de aanvalsketen nagebouwd op schone installaties. Sansec noemt de kwetsbaarheid StyleSmuggler en publiceerde het onderzoek op 5 september.
De kern in drie zinnen. Een aanvaller stuurt zonder in te loggen een verzoek naar je shop waarmee hij code in het template-systeem van Magento smokkelt, via de "styles"-eigenschappen die de bestaande beveiliging niet controleert. Daarna zorgt hij dat Magento de standaardmail "Payment Transaction Failed Reminder" opbouwt. Op het moment dat Magento die mail samenstelt, voert het de gesmokkelde code uit. Niemand hoeft de mail te openen.
Wat het raakt: Magento Open Source en Adobe Commerce 2.4.4 tot en met 2.4.9. Het eerste bekende slachtoffer draaide 2.4.6-p15 met de security-patches van juli en augustus 2026. De kwetsbaarheid staat inmiddels geregistreerd als CVE-2026-75650 met CVSS-score 10.0: uitvoerbaar zonder inloggen, zonder dat iemand iets hoeft aan te klikken.
CVE-2026-75650: de patch en wat je installeert
Adobe publiceerde op zondag 7 september om 20:20 UTC beveiligingsbulletin APSB26-146, met hotfix VULN-39341. Dat is een losse hotfix, geen volledige release, dus je hoeft niet te wachten op een versie-upgrade. Het NCSC gaf dezelfde week de melding "Ernstige kwetsbaarheid in Adobe Commerce en Magento actief misbruikt: update onmiddellijk" uit.
Twee dingen om te weten voordat je installeert. Patchen dicht het gat, maar verwijdert geen backdoor die er al staat: de aanvallers plaatsten volgens de onderzoeken een Rust-backdoor en PHP-webshells. Was je shop bereikbaar tussen 4 en 7 september, doorloop dan eerst de vijf stappen hieronder en patch daarna. En controleer of je frontend of integraties op het GraphQL-endpoint leunen voordat je dat blokkeert.
Waarom dit vaker gaat gebeuren
Een gepatchte shop was lang een redelijke maatstaf voor "veilig". Dat verschuift, om twee redenen.
Ten eerste is het vinden en uitbuiten van kwetsbaarheden goedkoper geworden. Een exploit schrijven, alle Magento-shops op internet scannen en een campagne draaien vroeg een paar jaar geleden nog specialistisch werk. Met AI-tooling en goedkope rekenkracht is dat werk grotendeels geautomatiseerd, en daarmee beschikbaar voor veel meer partijen.
Ten tweede loopt het misbruik nu vóór op de ontdekking. StyleSmuggler draaide al als campagne toen Sansec het 's avonds zag. Dezelfde nacht was de keten nagebouwd, en een officiële patch is er op zijn vroegst na het weekend.
Voor jou als shopeigenaar verandert daarmee de vraag. Niet alleen "zijn we gepatcht", maar "hoe snel merken we het, en wie grijpt dan in".
Wat je dit weekend zelf doet
Vijf stappen, in deze volgorde. Heb je een beheerpartij, stuur dit dan door en vraag om bevestiging per punt. Wil je dat wij meekijken? Vraag de gratis security-check aan, we doen er vier per maand.
- Blokkeer GraphQL tijdelijk als je het niet gebruikt. De tot nu toe waargenomen aanvallen lopen via het /graphql-endpoint. Draai je een Hyvä- of Luma-frontend zonder headless-koppelingen of PWA, dan kun je dat endpoint op webserver- of firewallniveau blokkeren tot er een officiële fix is. Gebruik je GraphQL wel, dan valt deze optie af en wegen stap 2 tot en met 5 zwaarder.
- Controleer op de bekende indicatoren. Sansec publiceerde domeinen, IP-adressen, een procesnaam en bestandspaden die bij deze campagne horen. Laat je beheerder die lijst naast de server leggen: uitgaand verkeer, draaiende processen en de home-directory van de Magento-gebruiker.
- Scan op implants. Een malwarescan van codebase en database, niet alleen van de bestanden die Magento zelf beheert.
- Roteer credentials als je iets vindt. Admin-accounts, API-keys, databasewachtwoord en integratietokens. Een backdoor die al draait, heeft ze mogelijk gelezen.
- Installeer hotfix VULN-39341 (APSB26-146). Die is er sinds 7 september en dicht CVE-2026-75650. Doe dit na de controle op indicatoren, niet ervoor: een patch sluit de voordeur, maar laat een backdoor die al binnen is gewoon staan.
Hoe wij dit voor shops in beheer hebben aangepakt
Zaterdag, binnen een etmaal na de publicatie van het onderzoek, heeft ons team alle shops in beheer direct gepatcht tegen deze aanvalsketen. Zonder te wachten op de officiële release van Adobe. Zo is ons onderhoud ingericht: iedere security-advisory beoordelen we binnen 48 uur na publicatie, en bij actief misbruik wachten we niet op kantooruren.
Daarnaast draait op elke shop in beheer een combinatie van eigen monitoring, externe scanning op bekende malwarepatronen en een firewall-laag voor het webverkeer. Afwijkend gedrag zien we daardoor meestal voordat een klant het meldt.
Wat dit betekent voor je beheer
De norm in de markt is patchen wanneer er tijd voor is, en incidenten oplossen tegen uurtarief als ze zich voordoen. Dat werkte toen aanvallen zeldzaam en traag waren.
Vendic Guard is het losse beschermpakket voor shops die dat anders willen: bereikbaarheid van 07:00 tot 23:00, zeven dagen per week, reactie binnen 60 minuten, en bot-aanvallen die we detecteren en oplossen, binnen en buiten kantooruren. Zit je al in Vendic Pulse, ons onderhoudspakket, dan heb je Guard al.
Wil je eerst weten waar je shop staat? Vraag de gratis security-check aan: een externe scan op patchniveau, blootstelling en bekende indicatoren, met een rapport in managementtaal. Vier per maand, zonder verplichting. Daar heb jij dit weekend dan geen omkijken naar.
Bronnen: Sansec, "StyleSmuggler", 5 september 2026, bijgewerkt met CVE-2026-75650: sansec.io/research/stylesmuggler-0day. Adobe-beveiligingsbulletin APSB26-146, 7 september 2026. NCSC, "Ernstige kwetsbaarheid in Adobe Commerce en Magento actief misbruikt: update onmiddellijk": ncsc.nl.
