אדובי פרסמה עדכון חירום רשמי לפגיעות CVE-2026-75650 (כינוי המחקר: StyleSmuggler) ב-Magento Open Source ו-Adobe Commerce, שעד לפני יומיים נוצלה כיום-אפס בלי תיקון זמין. בינתיים התבררו גם פרטי הניצול בשטח: תוקפים השתמשו בפגיעות כדי להשתיל דלת אחורית מבוססת Rust ו-web shell מבוסס PHP על חנויות פגיעות.
| מזהה (CVE) | CVE-2026-75650 |
| מוצר וגרסאות מושפעות | Adobe Commerce 2.4.4-2.4.9, B2B 1.3.3-1.5.3, ו-Magento Open Source 2.4.6-2.4.9 |
| חומרה (CVSS) | 10.0 — מקסימלית |
| מנוצל בפועל | כן, מ-4 בספטמבר 2026, לצורך התקנת דלת אחורית ו-web shell |
| סטטוס תיקון | תוקן — עדכון APSB26-146 פורסם ב-7-8 בספטמבר 2026 כ-hotfix |
מה קרה
כפי שדיווחנו בשבוע שעבר, הפגיעות מאפשרת לתוקף לא מאומת להריץ קוד מרחוק דרך הזרקת קוד PHP למנגנון התבניות של Magento, המופעל בעת עיבוד הודעת "Payment Transaction Failed Reminder". כעת אדובי אישרה רשמית שהפגיעות נוצלה כדי להתקין שני סוגי תשתית תקיפה: דלת אחורית כתובה ב-Rust המתחברת לשרת חיצוני וממתינה להוראות, ובנפרד — כלי המוריד רכיב PHP שכותב web shell המאפשר הרצת קוד שרירותי.
התיקון עצמו מגיע כ-hotfix ולא כגרסה מלאה — קובץ composer patch להורדה מ-repo.magento.com. אדובי מדגישה שהחלת התיקון בלבד אינה מספיקה: חנויות שהיו חשופות צריכות להניח שהמפתח שמצפין נתונים רגישים נחשף.
נקודות לשים לב
- עדכנו מיידית באמצעות ה-hotfix VULN-39341 תחת APSB26-146 — זו הפגיעות בחומרה המקסימלית האפשרית, 10.0.
- אם החנות שלכם הייתה חשופה בין 4 ל-8 בספטמבר, בצעו רוטציה למפתח ההצפנה (
crypt/key) וכל פרט גישה שהמפתח הגן עליו: סיסמאות מנהל, טוקנים של REST/SOAP/GraphQL, סודות OAuth, אישורי סליקה, גישה למסד הנתונים ומפתחות SSH. - חפשו את סימני ההיכר שפורסמו בשבוע שעבר: תהליך
kworkerשרץ תחת משתמש שאינו root, קובץ ב-~/.local/share/.gvfsd/gvfsd-user, ורשומת cron שחוזרת כל חמש דקות — נוכחותם מעידה שכבר נפרצתם, ותיקון בלבד לא יסיר אותם. - אם החלתם קודם תיקון לא רשמי מצד שלישי (Disrex, ProxiBlue וכדומה) — בדקו התאמה מול ה-hotfix הרשמי כדי למנוע התנגשות קוד.
מקורות: The Hacker News · Sansec
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
