Lỗ hổng zero-day trong Magento và Adobe Commerce bị khai thác để cài backdoor
"Attackers are exploiting an unpatched zero-day in Magento Open Source and Adobe Commerce, tracked by Sansec as StyleSmuggler, to achieve unauthenticated code execution and install persistent backdoors on online stores. Sansec and Disrex reported active exploitation beginning September 4, with affected Magento Open Source versions including 2.4.7, 2.4.8, and 2.4.9; Adobe had not yet issued a CVE, patch, or workaround at the time, and the interim mitigation was to disable GraphQL until a fix is released."
Nguy cơ thực thi mã từ xa không cần xác thực, cài backdoor bền vững, và chiếm quyền máy chủ cửa hàng. Tác động có thể lan tới mất kiểm soát hệ thống và nguy cơ lộ dữ liệu nếu không phát hiện sớm.
Có thể gây gián đoạn bán hàng trực tuyến, ảnh hưởng uy tín thương hiệu và phát sinh chi phí ứng cứu sự cố. Việc tắt GraphQL tạm thời cũng có thể tác động đến các storefront headless hoặc PWA.
Các nhà nghiên cứu an ninh ghi nhận một zero-day chưa được vá trong Magento Open Source và Adobe Commerce đang bị khai thác để thực thi mã từ xa mà không cần xác thực, sau đó cài backdoor bền vững lên máy chủ cửa hàng trực tuyến. Sansec đặt tên chiến dịch là StyleSmuggler và cho biết hoạt động tấn công bắt đầu từ ngày 4/9.
Theo báo cáo, các phiên bản bị ảnh hưởng gồm Magento Open Source 2.4.7, 2.4.8 và 2.4.9; Adobe tại thời điểm công bố chưa đưa ra CVE, bản vá hay biện pháp khắc phục chính thức. Biện pháp giảm thiểu tạm thời được khuyến nghị là tắt GraphQL cho đến khi có bản sửa lỗi.
Sansec và Disrex đều ghi nhận các trường hợp xâm nhập thực tế, trong đó mã độc được ngụy trang như tiến trình hệ thống Linux và tự khởi động lại định kỳ bằng cron. Một số hệ thống bị ảnh hưởng đã được cô lập trong cùng ngày, và chưa có bằng chứng về rò rỉ dữ liệu hay di chuyển ngang sang hệ thống khác.
Khuyến nghị cho đội vận hành: kiểm tra phiên bản đang dùng, theo dõi dấu hiệu backdoor, xoay vòng thông tin xác thực, và áp dụng bản vá ngay khi nhà cung cấp phát hành. Nếu đang phụ thuộc GraphQL, cần đánh giá tác động trước khi tạm tắt dịch vụ.