Das niederländische Unternehmen Sansec berichtet von einer groß angelegten Kampagne, in deren Verlauf Angreifer 953 Onlineshops kompromittiert haben, die überwiegend auf der Plattform Magento (Adobe Commerce) laufen. Die Kampagne ist seit Juli 2025 aktiv und nutzt den Mechanismus der Magento-CMS-Blöcke, um einen bösartigen JavaScript-Loader einzuschleusen, der automatisierte Sicherheitsscanner gezielt umgeht und schädlichen Code nur an echte Käufer ausliefert. Betreiber von Shops auf Adobe Commerce und Magento Open Source sollten umgehend die Tabellen cms_block und cms_page auf verdächtigen Code prüfen und aktuelle Sicherheitspatches einspielen.
Angriffsmechanismus: CMS-Blöcke als Persistenzvektor
Die Angreifer betten ein kleines Codefragment in Magento-CMS-Blöcke ein – die Datenbanktabelle cms_block, die für das Rendering statischer Inhalte (Kopfzeile, Fußzeile, Promo-Banner) auf den Shopseiten verwendet wird. Beim Aufruf einer infizierten Seite kontaktiert der Browser des Käufers den Server der Angreifer, der zunächst prüft, ob es sich beim Besucher um einen echten Menschen oder um einen automatisierten Scanner handelt. Scanner erhalten überhaupt keine Antwort – das ist der Hauptgrund, warum die Kampagne über lange Zeit unentdeckt blieb.
Nach Angaben von Sansec wurden im Verlauf der Kampagne fünf Domains verwendet:
manulfie[.]click— seit Juli 2025neswnsssn[.]click— seit Dezember 2025lanhd6549tdhse[.]top— seit März 2026additionalver[.]com— seit Juni 2026deepveindrilling[.]com— seit Oktober 2026
Die letzte Domain, die am 6. Oktober 2026 registriert wurde, wurde laut Sansec in den CMS-Blöcken von 83 Shops entdeckt.
Zwei Versionen des Loaders und Umgehung von Schutzmechanismen
Die Forscher identifizierten zwei Versionen des Loaders. Die erste speichert die Nutzlast im localStorage des Browsers, was dafür sorgt, dass der schädliche Code bei späteren Besuchen erneut ausgeführt wird – selbst wenn die externe Domain der Angreifer nicht mehr erreichbar ist. Die zweite Version nutzt zusätzlich Browser-Fingerprinting, um Bots und Sicherheitsscanner herauszufiltern.
Frühe Iterationen der Kampagne setzten die Plattform Keitaro als Traffic-Distribution-System (TDS) ein, sodass je nach Eigenschaften des Besuchers unterschiedliche Antworten zurückgegeben werden konnten. Die jüngste Domain deepveindrilling[.]com verzichtet auf Keitaro und implementiert die Bot-Filterlogik direkt im Loader.
Die finale Nutzlast, die der Loader ausliefert, war zum Zeitpunkt der Veröffentlichung der Sansec-Analyse noch nicht erbeutet worden. Das bedeutet, dass die genaue Art der Bedrohung für Käufer – sei es Diebstahl von Zahlungsdaten, Weiterleitungen oder andere schädliche Aktivitäten – weiterhin unbekannt ist.
Erstzugriffsvektoren und widersprüchliche Einschätzungen zur Ausnutzung
Nach Einschätzung von Sansec wurden 471 Shops über die Schwachstelle CVE-2026-48356 (PolyShell) kompromittiert – eine kritische Schwachstelle für das Hochladen von Dateien gefährlicher Typen (CWE-434) in Adobe Commerce mit einem CVSS-Score von 9.6 laut Adobe. Weitere 102 Shops wurden Sansec zufolge entweder über PolyShell oder über CVE-2025-54236 (SessionReaper) kompromittiert – eine Schwachstelle aufgrund unzureichender Eingabevalidierung mit einem CVSS-Score von 9.1.
Hier gibt es eine wichtige Diskrepanz: Adobe erklärt im Sicherheitshinweis APSB26-73, dass dem Unternehmen keine Ausnutzung der von diesem Update abgedeckten Schwachstellen in realen Angriffen bekannt sei, während Sansec CVE-2026-48356 direkt mit der Masseninfektion in Verbindung bringt. Für CVE-2025-54236 ist die Lage anders – Adobe bestätigt hier eine Ausnutzung in the wild. Beide Schwachstellen sind im Katalog CISA KEV aufgeführt.
Betroffene Adobe-Commerce-Versionen für CVE-2026-48356: 2.4.9, 2.4.8-p5 und früher, 2.4.7-p10 und früher, 2.4.6-p15 und früher, 2.4.5-p17 und früher, 2.4.4-p18 und früher.
Patches garantieren keine Sicherheit
Eine der beunruhigendsten Erkenntnisse der Sansec-Studie: Ein vollständig gepatchter Magento-2.4.7-p10-Shop ohne fehlende Core-Updates wurde kompromittiert, indem ein gefälschtes Administratorkonto angelegt wurde, das anschließend zur Injektion des bösartigen Codes verwendet wurde. Das bedeutet, dass ein Update auf die neueste Version eine notwendige, aber keine hinreichende Bedingung für den Schutz darstellt. Der Loader wird in einer Datenbanktabelle und nicht im Dateisystem gespeichert, daher beseitigt das Entfernen des Skripts aus den Dateien die Infektion nicht, wenn die Datenbank nicht geprüft und kompromittierte Konten nicht widerrufen wurden.
Zusammenhang mit PHP2Shell
Die Veröffentlichung von Sansec fiel zeitlich zusammen mit der aktiven Ausnutzung zweier kritischer RCE-Schwachstellen in PHP – CVE-2026-109618 und CVE-2026-109619 (jeweils CVSS 9.2), bekannt als PHP2Shell. Nach Angaben des Berichts des Forschers Adel Karimi wurden am 24. Oktober 2026 auf Honeypots mit PHP 8.4.26 unter Apache mod_php 35 Fälle der Ausführung von Shell-Befehlen beobachtet. Beide Schwachstellen sind im CISA-KEV-Katalog aufgeführt. Wir haben bereits über diese Schwachstellen berichtet – sie betreffen PHP-Versionen vor 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Wichtig ist zu betonen, dass es sich hierbei um einen separaten Bedrohungsvektor gegenüber der Kampagne mit den Magento-CMS-Blöcken handelt: PHP2Shell ist mit Schwachstellen im PHP-Interpreter selbst verbunden, während die Magento-Kampagne Schwachstellen auf Anwendungsebene ausnutzt.
Indikatoren einer Kompromittierung
Loader-Domains:
manulfie[.]click,neswnsssn[.]click,lanhd6549tdhse[.]topadditionalver[.]com,deepveindrilling[.]comhdfdsi84j3h[.]top,c85grt98sd[.]com
IP-Adressen: 15.204.59.70, 104.28.208.84, 144.48.4.242, 162.35.99.94
Empfehlungen
- Prüfen Sie die Datenbank: Suchen Sie in den Tabellen
cms_blockundcms_pagenach Mustern wiefpCode,se_referrer,localStorage.getItemsowie nach den oben genannten Domains. - Führen Sie einen Konto-Audit durch: Überprüfen Sie die Liste der Administratoren auf unbekannte oder verdächtige Konten – auch auf vollständig aktualisierten Systemen.
- Spielen Sie Patches ein: Installieren Sie das Update APSB26-73 zur Beseitigung von CVE-2026-48356 und stellen Sie sicher, dass der Patch für CVE-2025-54236 bereits angewendet wurde.
- Aktualisieren Sie PHP: auf die Versionen 8.2.35, 8.3.36, 8.4.27 oder 8.5.12, um die PHP2Shell-Schwachstellen zu schließen.
- Stärken Sie die Authentifizierung: Führen Sie starke Passwörter und Zwei-Faktor-Authentifizierung für Administrationsoberflächen ein.
Die Kampagne zeigt die Weiterentwicklung der Taktiken beim Web-Skimming: Das Speichern des Loaders in der Datenbank der CMS statt im Dateisystem, Persistenz über den localStorage des Browsers und aktive Filterung von Scannern machen die Erkennung mit Standardwerkzeugen äußerst schwierig. Betreiber von Shops auf Adobe Commerce und Magento sollten umgehend die Datenbanktabelle cms_block und alle administrativen Konten prüfen – ein Update auf die neueste Version der Plattform allein reicht nicht aus, um eine Kompromittierung sicher auszuschließen.
