Et hull i Magento ble utnyttet i tre dager før Adobe fikk ut en retting

Sikkerhetsselskapet Sansec har avdekket aktiv utnyttelse av en kritisk sårbarhet i Magento Open Source og Adobe Commerce. Feilen kalles StyleSmuggler, er registrert som CVE-2026-75650 og har CVSS-verdi 10,0. Den lar en angriper uten pålogging kjøre kode på tjeneren ved å smugle PHP inn i Magentos malsystem. Angrepene begynte 4. september 2026, tre dager før Adobe ga ut en hasteretting. Versjonene 2.4.4 til 2.4.9 er berørt, også installasjoner med nylige sikkerhetsoppdateringer.

Ifølge Sansec er sårbarheten brukt til å installere bakdører som er forkledd som vanlige Linux-prosesser, med navn som kworker, fc-cache og chronyd. Noen varianter kommuniserer gjennom trafikk som skal ligne vanlig NTP, og en annen aktør har brukt hullet til å legge inn et PHP-basert web shell. Rådet er å installere Adobes retting VULN-39341 straks, undersøke tjenerne for tegn på innbrudd, og bytte Magentos krypteringsnøkkel og alle opplysninger den beskytter. Rettingen fjerner ikke skadevare som allerede er lagt inn.

Hva det betyr for deg som driver nettbutikk på Magento

Tre dager er lang tid når hullet gir kjøring av kode uten pålogging og butikken står på internett. Har butikken din kjørt en berørt versjon i dette vinduet, er spørsmålet ikke om du bør oppdatere, men om noen var innom først. Bakdørene er laget for å se ut som systemprosesser, og trafikk som ligner NTP glir gjennom de fleste brannmurer. Det gjør en rask titt i prosesslisten lite verdt. Du må sammenligne mot det du vet skal være der.

Krypteringsnøkkelen er det som gjør denne saken større enn en vanlig oppdatering. Den beskytter det butikken lagrer kryptert, som integrasjonsnøkler og tilganger, og har noen hatt kode kjørende på tjeneren, må du gå ut fra at nøkkelen er lest. Bytte av nøkkelen og alt den beskyttet er derfor en del av rettingen, ikke et tillegg. Drifter et byrå butikken for deg, bør du be om skriftlig bekreftelse på hva som er gjort, med tidspunkt.

Berigo anbefaler

• Installer rettingen VULN-39341 på alle Magento- og Adobe Commerce-installasjoner i versjon 2.4.4 til 2.4.9 uten opphold.
• Let etter prosesser som heter kworker, fc-cache eller chronyd, men som kjører fra feil sted eller under feil bruker, og etter ukjente PHP-filer i webkatalogene.
• Gå gjennom utgående trafikk fra butikktjeneren, særlig NTP-lignende trafikk mot adresser du ikke kjenner.
• Bytt Magentos krypteringsnøkkel og alle nøkler, passord og API-tilganger den har beskyttet.
• Be driftsleverandøren dokumentere hva som er gjort, når, og hvilke spor som ble funnet.