Magento-Kampagne kompromittiert 953 Online-Shops mit scanner-evadierendem JavaScript
Seit Juli 2025 haben Angreifer laut Sansec 953 Online-Shops kompromittiert, überwiegend Magento-Installationen. Die Kampagne fügt den Store-Seiten Code hinzu, der beim Besuch durch Kunden einen JavaScript-Loader nachlädt. Dadurch können nicht nur die Shops selbst, sondern auch deren Besucher zum Ziel der nachgelagerten, bislang nicht vollständig bekannten Aktionen werden.
Der Loader liegt in Magento-CMS-Blöcken und wird erst ausgeführt, wenn der betreffende Block im Schaufenster des Shops gerendert wird. Die Infrastruktur unterscheidet dabei zwischen echten Besuchern und Prüfwerkzeugen: Eine beobachtete Variante nutzt Browser-Fingerprinting, um Bots und Sicherheitsscanner auszusortieren. Das erschwert eine Kontrolle, die sich ausschließlich auf automatisierte Abrufe oder Scanner stützt.
Sansec beobachtete im Verlauf der Kampagne mindestens fünf Domains. Die jüngste Domain, deepveindrilling[.]com, wurde seit ihrer Registrierung am 6. Oktober 2026 in den CMS-Blöcken von 83 Shops gefunden. Sie ist hinter Cloudflare betrieben und antwortet laut der Analyse nur auf Skriptanfragen von echten Besuchern kompromittierter Shops.
Die Schadlogik kann über mehrere Besuche hinweg wirksam bleiben. Eine der beobachteten Loader-Varianten speichert die nachgeladene Nutzlast im localStorage des Browsers und führt sie bei späteren Besuchen erneut aus, selbst wenn die externe Domain nicht mehr erreichbar ist. Was diese finale Nutzlast konkret tut, ist laut Sansec nicht bekannt.
Als Einstiegsweg werden vor allem bekannte Magento-Schwachstellen genannt. Für 471 Shops wird eine Einschleusung über PolyShell, auch als CVE-2026-48356 bezeichnet, geschätzt. Weitere 102 Shops sahen Datei-Uploads über PolyShell oder SessionReaper, das unter CVE-2025-54236 geführt wird. Die Zahlen sind damit teilweise Schätzungen und belegen nicht für jeden betroffenen Shop denselben Angriffsweg.
Ein dokumentierter Fall zeigt außerdem, warum ein vollständiger Kern-Patch allein nicht genügt: Bei einem Shop mit Magento 2.4.7-p10 und ohne fehlende Core-Patches legten die Angreifer ein Administratorkonto an und nutzten es anschließend zur Injektion des Codes. In einem anderen Fall lagen als PNG getarnte Webshells neben dem Loader im Verzeichnis des Shops; dort fehlte der von Adobe genannte PolyShell-Fix APSB26-73.
Betreiber betroffener Magento-Shops sollten deshalb ihre Administratorkonten sowie unerwartete CMS-Blöcke in den Tabellen cms_block und cms_page prüfen. Zusätzlich empfiehlt die Analyse, die Shops aktuell zu halten und starke Passwörter durchzusetzen. Für die Untersuchung sind insbesondere neue Konten, ungewöhnliche Inhalte in CMS-Blöcken und nicht erwartete Dateien relevant; die Evidenz nennt jedoch keine vollständige forensische Prüfroutine.