StyleSmuggler: פרצת יום אפס ב-Magento שימשה להשתלטות על חנויות אונליין
Sansec חשפה ב-5 בספטמבר חולשה ב-Magento וב-Adobe Commerce שמאפשרת להריץ קוד על שרת החנות בלי התחברות, וכבר נוצלה נגד חנויות מעודכנות. Adobe פרסמה תיקון רק יומיים אחר כך.
TL;DR בקצרה
- החולשה מנוצלת דרך בקשת GraphQL ומופעלת כש-Magento מייצרת מייל על כישלון תשלום, בלי שאיש צריך לפתוח אותו.
- הקורבן הראשון הריץ גרסה 2.4.6-p15 עם כל עדכוני יולי ואוגוסט, כך שגם חנות מעודכנת לא הייתה מוגנת.
- התוקפים התקינו דלת אחורית שמתחזה לתהליך של מערכת ההפעלה ובמקרה אחד קראה נתוני סשן של לקוחות מ-Redis.
- ב-7 בספטמבר פרסמה Adobe את עדכון APSB26-146 עם תיקון חם VULN-39341, והחולשה קיבלה את המזהה CVE-2026-75650.
חברת האבטחה ההולנדית Sansec, שמתמחה באבטחת חנויות מקוונות, חשפה ב-5 בספטמבר את StyleSmuggler. זו פרצת יום אפס בפלטפורמות Magento Open Source ו-Adobe Commerce. היא מאפשרת לתוקף בלי שם משתמש וסיסמה להריץ קוד על שרת החנות. היא כבר שימשה להשתלטות על חנויות.
לפי Sansec, התוקפים ניצלו את החולשה לראשונה ב-4 בספטמבר. ברגע החשיפה לא היה לה תיקון רשמי.
StyleSmuggler: מייל על תשלום שנכשל הופך לשער כניסה
התקיפה מתבצעת בשני שלבים. בשלב הראשון התוקף משגר בקשה לממשק ה-GraphQL של החנות. זה ממשק שמשמש בעיקר חנויות headless, עם חזית עצמאית. הבקשה מנצלת את מאפייני ״styles״ כדי להחדיר קוד PHP למערכת התבניות של Magento. הקוד מגיע לקובץ ש-Magento מייצרת בעצמה במהלך פעילות רגילה, למשל דוח על כישלון תשלום.
בשלב השני התוקף גורם ל-Magento לשלוח את המייל האוטומטי על עסקת תשלום שנכשלה. הקוד הזדוני רץ ברגע ש-Magento מעבדת את תבנית המייל. לכן אף אחד לא צריך לפתוח את המייל או אפילו לקבל אותו.
לפי Sansec, הקורבן הראשון שזוהה הריץ גרסה 2.4.6-p15 עם עדכוני האבטחה של יולי ואוגוסט. Sansec שחזרה את התקיפה גם על התקנות נקיות של גרסאות 2.4.7, 2.4.8 ו-2.4.9.
הדלת האחורית של StyleSmuggler מתחזה לתהליך של מערכת ההפעלה
Cyber Security News פרסם ניתוח על סמך Sansec וחברת Disrex. Disrex טיפלה בשתי חנויות שנפרצו. לפי הניתוח, התוקפים התקינו בינארי בשפת Rust בגודל כ-1.9 מגה-בייט. הוא מתחזה לתהליך ליבה של Linux בשם [kworker/u:8:0]. משימה מתוזמנת (cron) מפעילה אותו מחדש באופן קבוע.
בחנות אחת הוא לא פתח אף חיבור החוצה לאינטרנט. במקום זה הוא פתח 28 חיבורים לשרת ה-Redis של האתר. המטרה: לקרוא נתוני סשן חיים של משתמשים.
כאן טמונה הסכנה העיקרית של StyleSmuggler לבעלי חנויות. מי ששולט בשרת של חנות מקוונת יכול לשתול קוד שגונב פרטי כרטיסי אשראי בעמוד התשלום. הוא יכול גם לגנוב סשנים של מנהלים ולקוחות, ולשלוף מפתחות API של חברות סליקה ומשלוחים. Magento היא מטרה ותיקה למתקפות גניבת כרטיסים מהסוג הזה. חולשה שלא דורשת התחברות ועוקפת חנויות מעודכנות היא תרחיש גרוע במיוחד.
ב-6 בספטמבר, יום אחרי החשיפה, Adobe עדיין לא פרסמה ייעוץ, מזהה CVE או תיקון. ההמלצה הזמנית של Sansec הייתה לכבות את GraphQL בחנויות שלא צריכות אותו. לפי הדיווח, חנויות עם ערכות נושא קלאסיות או Hyvä בדרך כלל לא נזקקות לו.
כמה חברות פרסמו טלאים לא רשמיים. הדיווח מציין ששתי חסימות עצרו את שלב ההתקנה של הדלת האחורית. הראשונה היא חסימת הפונקציה proc_open ב-PHP. השנייה היא מניעת הרצה מתיקיות זמניות.
מה זה אומר עבורכם
- התקינו את התיקון הרשמי: בגרסאות 2.4.4 עד 2.4.9 התקינו את התיקון החם VULN-39341. התיקון מגיע עם עדכון APSB26-146 של Adobe. בגרסאות 2.4.3 ומטה אין תיקון רשמי, וזו הזדמנות לתכנן שדרוג.
- תיקון לא מנקה פריצה: בדקו אם רץ תהליך kworker תחת משתמש האתר ולא תחת root. חפשו משימות cron לא מוכרות. עברו על תיקיות var/report ו-var/log. כלי סריקה של חברות אבטחת מסחר יכולים לעזור.
- החליפו מפתחות: Adobe ממליצה להחליף את מפתח ההצפנה של החנות. כך גם את כל האישורים שהוא מגן עליהם. הוסיפו לרשימה את סיסמאות המנהלים ומפתחות ה-API של הסליקה.
- צמצמו את שטח התקיפה: אם החנות לא משתמשת ב-GraphQL, שקלו לחסום אותו. שאלו את חברת האחסון או את הסוכנות שמתחזקת את האתר. בררו אם יש חומת אש אפליקטיבית עם חוקים מעודכנים.
מה קרה מאז
לפי Sansec, Adobe פרסמה ב-7 בספטמבר את עדכון האבטחה APSB26-146 בעדיפות הגבוהה ביותר. העדכון כולל תיקון חם בשם VULN-39341, שנבדק על גרסאות 2.4.4 עד 2.4.9. החולשה קיבלה את המזהה CVE-2026-75650 ודירוג חומרה מקסימלי של 10.0. Adobe לא פרסמה תיקון לגרסאות 2.2, 2.3 ו-2.4.0 עד 2.4.3.
מקורות והרחבה
- StyleSmuggler: Magento and Adobe Commerce 0-day RCE (CVE-2026-75650) under active attackSansec
- Hackers Actively Exploiting Magento and Adobe Commerce 0-Day RCE VulnerabilityCyber Security News
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
