Adobe vá lỗi zero-day trên Magento bị khai thác để cài backdoor
"Adobe released security patches for a maximum-severity zero-day in Adobe Commerce and Magento Open Source, tracked as CVE-2026-75650 (CVSS 10.0). The flaw enables unauthenticated remote code execution through Magento's template system and has been actively exploited to deploy a Rust-based Linux backdoor and a PHP web shell; mitigation requires applying the VULN-39341 patch and rotating encryption keys."
CVE-2026-75650 cho phép RCE không cần xác thực và đã bị khai thác thực tế; có nguy cơ cài backdoor và web shell trên máy chủ Magento.
Website thương mại điện tử có thể bị chiếm quyền điều khiển, gián đoạn dịch vụ và rủi ro rò rỉ dữ liệu; cần vá khẩn cấp và xoay vòng khóa mã hóa.
Adobe đã phát hành bản vá khẩn cấp cho Adobe Commerce và Magento Open Source nhằm xử lý CVE-2026-75650, một lỗ hổng CVSS 10.0 đang bị khai thác ngoài thực tế. Lỗi này cho phép thực thi mã từ xa không cần xác thực thông qua hệ thống template của Magento, khi kẻ tấn công lợi dụng luồng xử lý email như Payment Transaction Failed Reminder để chèn mã PHP.
Theo thông tin công bố, hoạt động khai thác đã bắt đầu từ ngày 4/9/2026 và được dùng để triển khai backdoor Linux viết bằng Rust cũng như PHP web shell trên các hệ thống bị ảnh hưởng. Adobe cho biết các phiên bản Adobe Commerce, Adobe Commerce B2B và Magento Open Source trước các bản phát hành 2026-aug tương ứng đều có thể bị tác động.
Biện pháp giảm thiểu chính là áp dụng VULN-39341 patch phù hợp với từng phiên bản và xoay vòng encryption keys sau khi cập nhật. Các đội vận hành nên ưu tiên kiểm tra log, rà soát dấu hiệu RCE, web shell và kết nối bất thường ra ngoài, đồng thời xác minh toàn bộ hệ thống Magento công khai Internet đã được vá đầy đủ.