6月11日，超过4,000家Magento和Adobe Commerce在线商店（包括Ray-Ban、National Geographic、Whirlpool及Segway等品牌）遭受黑客技术攻击，攻击者试图窃取买家下单时的支付信息。
安全公司Sunsec指出，Magento和Adobe Commerce软件因CVE-2024-34102漏洞（即CosmicSting）被攻破。尽管Adobe已发布警告并推送补丁，但仍有大量在线商店未更换密钥，仍处于风险之中。
两年来最严重的攻击
此次攻击以每小时3至5次的频率进行，影响Adobe Commerce 2.4.7、2.4.6-p5、2.4.5-p7、2.4.4-p8及更早版本。Sunsec称其为过去两年电商领域遭遇的最严重安全事件。
Sunsec解释称：“典型攻击策略是窃取app/etc/env.php中的应用加密密钥，并通过Magento API修改CMS模块，随后注入恶意JavaScript以窃取客户数据。”
分析显示，此次攻击波及4,275家商户，占全球Adobe Commerce和Magento电商网站总数的5%。
至少有七个网络犯罪团伙利用CosmicSting漏洞植入电子卡扣器（e-skimmers）。这些虚假支付网关叠加在真实网关之上，旨在将购物付款或订阅费用转移至攻击者账户。此外，该漏洞还可用于窃取站内任意信息，如客户登录凭据。
Adobe的应对措施
7月8日，Adobe发布了“危急”级公告，但此时自动化攻击已开始，数千密钥被盗。由于系统更新不会自动使旧密钥失效，店铺仍面临未经授权修改的风险。
Adobe发布了手动删除旧密钥指南，作为官方隔离安全方案，适用于Magento 2.2.0及以上版本且无需升级，并于9月中旬进行了更新。然而，并非所有商家都执行了此操作。
针对受影响平台的后续措施，Adobe回应称：“建议店主尽快升级系统，实施7月份推荐的额外安全措施。”
此前Sansec曾提供应急方案，但在Adobe发布官方指引后，建议商家即使已应用应急方案也应替换为官方补丁。最后，建议使用漏洞和恶意软件监控工具防范攻击。
图片来源：ChatGPT