Adobe закрыла уязвимость Magento, которую уже применяют в атаках
Критическая CVE-2026-75650 позволяет выполнить произвольный код на сайтах Adobe Commerce и Magento Open Source. Исследователи зафиксировали установку бэкдора на Rust и PHP-веб-шелла.
Adobe выпустила исправления для CVE-2026-75650 — критической уязвимости в Adobe Commerce и Magento Open Source с оценкой CVSS 10 из 10. По данным компании, уязвимость уже используют в реальных атаках на продавцов, работающих с Adobe Commerce.
Sansec назвала её StyleSmuggler. Первые признаки эксплуатации нулевого дня она зафиксировала 4 сентября 2026 года. Уязвимость связана с внедрением PHP-кода через систему шаблонов Magento: злоумышленник может сформировать письмо с темой «Payment Transaction Failed Reminder» и добиться выполнения кода на сервере.
Под угрозой находятся Adobe Commerce версий 2.4.4–2.4.9 в сборках «-2026-aug и ранее», Adobe Commerce B2B версий 1.3.3, 1.3.4, 1.4.2, 1.5.2 и 1.5.3 в сборках «-2026-aug и ранее», а также Magento Open Source версий 2.4.6–2.4.9 в сборках «-2026-aug и ранее».
По сведениям The Hacker News, атаки уже использовались для установки Linux-бэкдора, написанного на Rust: он подключается к внешнему серверу и ожидает дальнейших команд. В другой выявленной цепочке на уязвимый сайт загружался PHP-дроппер, создающий веб-шелл для выполнения произвольного PHP-кода.
Компания Disrex сообщила, что один из управляемых ею Magento-серверов был скомпрометирован через 50 минут после первого подтверждённого случая эксплуатации StyleSmuggler — он был зафиксирован 4 сентября в 22:20 UTC.
Adobe опубликовала пакет исправлений VULN-39341. Компания рекомендует установить патч, соответствующий используемой версии продукта, а также сменить ключи шифрования.