Adobe rilascia patch per Magento: vulnerabilità zero-day sfruttata per backdoor Rust e web shell PHP
- Punto chiave 1: Vulnerabilità CVE-2026-75650 (StyleSmuggler) con CVSS 10.0, sfruttata per eseguire codice arbitrario su Magento.
- Punto chiave 2: Attacchi realizzati con backdoor Rust e web shell PHP, con diffusione rapida in pochi minuti dopo la scoperta.
- Punto chiave 3: Patch disponibile (VULN-39341) e raccomandazioni di sicurezza: applicare la patch, ruotare le chiavi di crittografia e monitorare i log.
Sentiment: NEUTRALE
Il 4 settembre 2026 Adobe ha annunciato la pubblicazione di una patch di sicurezza per Adobe Commerce e Magento Open Source, in risposta a una vulnerabilità di massima gravità (CVE-2026-75650, CVSS 10.0) che è stata attivamente sfruttata in produzione. La falla, soprannominata “StyleSmuggler” da Sansec, consente l’iniezione di codice PHP tramite il sistema di template di Magento, generando un’email di “Payment Transaction Failed Reminder” che, in fase di rendering, esegue codice arbitrario.
1. Come funziona StyleSmuggler: la tecnica di iniezione di codice
StyleSmuggler sfrutta la dipendenza iniettata dal motore di template di Magento per inserire codice PHP non autorizzato. Quando un utente, anche senza autenticazione, richiede la generazione di un’email di notifica, il template viene elaborato con il codice iniettato, permettendo così l’esecuzione di comandi arbitrari sul server. L’attacco è quindi una forma di Remote Code Execution (RCE) che non richiede privilegi elevati.
2. Impatto e diffusione degli attacchi
Secondo le prime segnalazioni di Disrex, un’azienda di sicurezza e-commerce olandese, la prima exploit è stata rilevata il 4 settembre alle 22:20 UTC. Cinquant’anni dopo, un server gestito da una piattaforma di sviluppo Magento è stato compromesso, con l’installazione di una backdoor scritta in Rust che si collega a un server di comando e controllo esterno. Parallelamente, è stato distribuito un dropper PHP che scrive una web shell capace di eseguire qualsiasi codice PHP sul sito.
Le metriche di Telemetry di Previdian indicano 12 tentativi di sfruttamento registrati dal 7 settembre 2026, provenienti da due indirizzi IP distinti (Cina e Romania). Sebbene la maggior parte di questi tentativi sia stata bloccata, la rapidità con cui la vulnerabilità è stata sfruttata evidenzia la necessità di una risposta immediata.
3. Risposta di Adobe e raccomandazioni per i clienti
Adobe ha rilasciato un “hotfix” contenente il patch VULN-39341, disponibile per il download su repo.magento.com/patch/VULN-39341-composer-patches.zip. L’azienda consiglia inoltre di ruotare le chiavi di crittografia utilizzate da Magento per evitare che eventuali credenziali compromesse possano essere riutilizzate.
Per mitigare il rischio, Adobe suggerisce:
- Applicare immediatamente il patch VULN-39341.
- Verificare che tutti i file di configurazione siano corretti e non contengano codice sospetto.
- Monitorare i log di sistema e di applicazione per attività anomale.
- Implementare un sistema di rilevamento delle intrusioni (IDS) e un firewall applicativo (WAF) specifico per Magento.
4. Implicazioni per la sicurezza di Magento e best practice future
La diffusione di StyleSmuggler mette in luce la vulnerabilità intrinseca nei sistemi di template che, se non adeguatamente isolati, possono diventare vettori di attacco. Le aziende che utilizzano Magento dovrebbero adottare le seguenti misure preventive:
- Isolare l’ambiente di rendering delle email da quello di produzione.
- Utilizzare versioni aggiornate di PHP e di Magento, con patch regolari.
- Implementare la crittografia end-to-end per le chiavi di sessione e di configurazione.
- Condurre regolarmente penetration test e analisi
