安全研究人员警告称，Magento 和 Adobe Commerce 中存在一个零日漏洞，攻击者已正在积极利用该漏洞。
安全研究人员发现了一场新的攻击活动，其目标是 Magento 和 Adobe Commerce 的商店软件系统。攻击者利用一个尚未修补的安全漏洞在易受攻击的系统上执行恶意代码。据 Golem 报道，这波攻击自 9 月 4 日起就已经开始。
攻击如何运作
Sansec 的研究人员将此次攻击称为“Stylesmuggler”。据称，通过特殊的样式属性可以绕过现有的安全措施——例如在生成错误报告时，恶意 PHP 代码可借此注入。一旦 Magento 渲染一封关于所谓支付失败的电子邮件，该代码便会执行。研究人员强调，用户无需打开该电子邮件即可触发恶意代码——即使邮件投递完全失败，攻击依然有效。
攻击者的目标是在系统中放置特定应用程序。该程序在后台运行，等待进一步指令，并充当所谓的后门——即进入商店系统的入口。截至目前，研究人员尚未观察到对该后门的进一步利用，同时也不清楚究竟有多少商店已经受到影响。
商店运营商现在应采取的措施
Sansec 建议管理员密切关注失败支付相关邮件数量的异常激增——这可能是正在进行的攻击的迹象。作为短期保护措施，研究人员建议禁用商店系统中的 GraphQL。此外，Sansec 在原报告中发布了技术入侵指标，可用于检查系统是否已被感染。
所有当前受支持的 Magento 和 Adobe Commerce 版本均受影响，包括截至 5 月 12 日的最新版本 2.4.9。目前尚无官方补丁。商店运营商应认真对待此警告，并及时实施推荐的安全防护措施。