Magento e Adobe Commerce colpiti da zero‑day StyleSmuggler: backdoor persistente su negozi online
- Punto chiave 1: Zero‑day StyleSmuggler sfrutta una vulnerabilità non ancora corretta in Magento Open Source e Adobe Commerce, consentendo l’esecuzione di codice remoto e l’installazione di una backdoor persistente.
- Punto chiave 2: Attacchi in corso dal 4 settembre; Adobe non ha ancora rilasciato patch, mentre mitigazioni temporanee includono la disabilitazione di GraphQL e l’applicazione di patch non ufficiali.
- Punto chiave 3: I negozi compromessi non hanno mostrato esfiltrazione di dati, ma le raccomandazioni includono rimozione cron, rotazione credenziali e pulizia completa del sistema.
Sentiment: [BEARISH]
Il 5 settembre Sansec, società di sicurezza e-commerce olandese, ha pubblicato un avviso di sicurezza che ha messo in luce una vulnerabilità zero‑day, denominata StyleSmuggler, che colpisce sia Magento Open Source sia Adobe Commerce. L’attacco consente agli aggressori di eseguire codice sul server di un negozio online senza autenticazione, installando una backdoor persistente che può essere mantenuta in esecuzione per lunghi periodi.
Contesto e scoperta della vulnerabilità
StyleSmuggler è stato identificato da Sansec il 4 settembre, quando gli aggressori hanno già iniziato a sfruttare la falla. La vulnerabilità permette l’iniezione di codice PHP in file generati dal sistema, come i report di errore, e l’esecuzione di tale codice tramite la funzione di invio delle email “Payment Transaction Failed Reminder”. Il risultato è un’esecuzione di codice sul server con privilegi dell’utente del sito, senza necessità di credenziali di amministratore.
Impatto e attacchi in corso
Al momento della pubblicazione, Adobe non aveva rilasciato alcun advisory, CVE, patch o workaround. Tutte le versioni correnti di Magento Open Source (2.4.7, 2.4.8, 2.4.9) e Adobe Commerce sono colpite. Disrex Group, provider di hosting Magento, ha confermato due compromessi su negozi gestiti da RexHosting: uno con Magento 2.4.8 (Shield abilitato) e uno con Magento 2.4.7-p2 (Shield non attivo). In entrambi i casi, l’attacco è stato contenuto entro 11‑14 ore dalla prima rilevazione.
Risposta e mitigazioni temporanee
Sansec consiglia di disabilitare temporaneamente GraphQL fino al rilascio di una patch ufficiale, poiché la vulnerabilità si attiva tramite richieste GraphQL. Disrex ha pubblicato regole per nginx e Apache che bloccano i parametri di exploit nella query string, ma non proteggono le richieste POST o JSON. Inoltre, Disrex ha sviluppato patch non ufficiali che aggiungono controlli “PHP_SAPI !== ‘cli’” in tre metodi di scansione della dipendenza di Magento, impedendo l’esecuzione di codice non autorizzato al di fuori della riga di comando.
Raccomandazioni per i commercianti
1. Verifica la presenza di file sospetti in var/report e var/log/system.log per tracce di X_TRACE_ o header simili.
2. Rimuovi cron entries sospette (es. /var/spool/cron/crontabs/) e arresta eventuali processi con nome “kworker/u:8:0” o simili.
3. Rotazione credenziali: cambia password di amministratore, chiavi API di pagamento e crypt/key in app/etc/env.php.
4. Ispeziona sessioni e cache per eventuali letture non autorizzate (es. Redis).
5. Applica patch non ufficiali di Disrex, ProxiBlue o Graycore, evitando di combinarle.
6. Disabilita funzioni PHP potenzialmente pericolose (es. proc_open) e monta /tmp, /var/tmp e /dev/shm con noexec.
Adobe ha programmato un rilascio di sicurezza per il 8 settembre; tuttavia, la comunità di sicurezza consiglia di adottare le mitigazioni temporanee finché non sarà disponibile una patch ufficiale.
