Неисправленную уязвимость Magento используют для внедрения бэкдоров в интернет-магазины

В Magento Open Source и Adobe Commerce обнаружена неисправленная уязвимость нулевого дня, которую уже используют для взлома интернет-магазинов. Нидерландская компания Sansec назвала её StyleSmuggler и сообщила, что атаки начались 4 сентября.

Успешная атака позволяет выполнить произвольный код на сервере магазина без входа в учётную запись, а затем установить постоянный бэкдор. Sansec утверждает, что проблема затрагивает все актуальные версии, включая Magento 2.4.9. Полную цепочку атаки компания воспроизвела на чистых установках Magento Open Source 2.4.7, 2.4.8 и 2.4.9.

При этом сведения об Adobe Commerce пока требуют осторожной трактовки. Sansec не публиковала воспроизведение атаки на Adobe Commerce и Adobe Commerce on Cloud, а Adobe ещё не подтвердила затронутые версии. Первый известный Sansec скомпрометированный магазин работал на Magento 2.4.6-p15 и имел установленные июльские и августовские обновления безопасности Adobe 2026 года.

Независимое подтверждение эксплуатации представила компания Disrex Group, занимающаяся хостингом и разработкой для Magento. Она сообщила о реагировании на два взлома 5 сентября и ещё одной попытке атаки, не приведшей к компрометации. Однако опубликованный Disrex репозиторий был подготовлен в ходе инцидента с помощью ИИ и, по предупреждению самой компании, не прошёл проверку; его выводы нельзя считать окончательным описанием механизма уязвимости.

По данным Sansec, атака состоит из двух этапов. Сначала злоумышленник внедряет PHP-код в файл, который создаёт сама Magento, например при формировании отчёта об ошибке. Затем платформа принудительно обрабатывает этот файл через штатное письмо «Payment Transaction Failed Reminder», и код выполняется в процессе формирования сообщения. Открывать письмо для этого не требуется; доставка письма также может завершиться неудачей без срыва атаки.

В качестве временной меры Sansec советует магазинам, не использующим её продукт Shield, отключить GraphQL до выхода исправления Adobe. Disrex отмечает, что это может быть критично для витрин на headless-архитектуре и прогрессивных веб-приложений, тогда как большинству классических витрин и магазинов на Hyvä GraphQL не нужен.

Sansec также опубликовала признаки компрометации. По её данным, бэкдор маскируется под процесс Linux с именем [kworker/u:8:0], размещается в каталоге пользователя сайта, а не в веб-корне, и восстанавливает себя через задание cron каждые пять минут. Компания рекомендует сменить учётные данные Magento, если такой процесс был обнаружен.

Adobe на момент публикации не выпустила бюллетень, идентификатор CVE, патч или обходной путь для этой проблемы. Следующий плановый выпуск обновлений безопасности Adobe намечен на 8 сентября, но пока неизвестно, войдёт ли в него исправление StyleSmuggler.