新たに公表された MagentoおよびAdobe Commerceのゼロデイ脆弱性が積極的に悪用されており、認証されていない攻撃者が影響を受けるECストア上でリモートコード実行を行うことが可能になっています。
「StyleSmuggler」と名付けられたこの脆弱性はSansecのフォレンジックチームによって発見され、同社は9月4日から悪用が始まっていると警告しています。この問題は現時点で未パッチであり、Magento Open Source 2.4.9を含む、サポート対象のすべてのMagentoおよびAdobe Commerceバージョンに影響します。
Sansecは、クリーンな状態のMagento Open Source 2.4.7、2.4.8、2.4.9のインストール環境において、認証を必要としない一連の攻撃チェーンを完全に再現しました。
さらにSansecは、2026年7月および8月分のセキュリティパッチを適用済みのMagento 2.4.6-p15を稼働させていた被害者を確認しています。このシステムではsecurity:patch-statusの結果が正常であると報告されていたにもかかわらず、侵害を受けていました。
StyleSmugglerはMagentoのテンプレートシステムを悪用するもので、既存の防御策を回避するためにstylesプロパティを利用します。このエクスプロイトは2段階で動作します。
攻撃者はまず、おそらく失敗レポートをトリガーすることでPHPコードをMagentoが生成するコンテンツに注入（汚染）します。その後、失敗した支払いに関するメール送信フローを通じて、Magentoにその汚染済みコンテンツをレンダリングさせます。
注入されたコードは、Magentoが標準の「支払い取引失敗リマインダー」メールをレンダリングする際に実行されます。実行はテンプレートのレンダリング時にサーバー側で発生するため、受信者がメールを開く必要はありません。
また、メールが配信されなかった場合でも攻撃が成功する可能性があります。つまり、支払い失敗通知が届いていないからといって、ストアが安全であるとは限らないということです。
支払い失敗リマインダーメールの件数が予期せず急増した場合は、直ちに調査を行う必要があります。ただし、正当な理由による取引拒否でも同様のアラートが発生し得ることを考慮すべきです。
エクスプロイトの成功後、攻撃者はバックグラウンドプロセスとしてコンパクトなRust製バックドアを展開します。このインプラントの初期バージョンは、Linuxカーネルのワーカープロセスを装って[kworker/u:8:0]という名前を偽装します。
9月6日に確認されたより新しいサンプルでは、フォントキャッシュ用ユーティリティになりすましてfc-cacheという名前が使用されています。
このfc-cache亜種は自身を~/.cache/fontconfig/fc-cacheにコピーし、1時間に2回インプラントを再起動するよう設定されたcronジョブを通じて永続化を確立します。また、エージェント識別子の前半部分をファイル名に用いた形で、PIDロックファイルを/tmp/.fc_<8hex>.lockに保存します。
Sansecの調査によると、このマルウェアはNetwork Time Protocolの通信を模した形でコマンド＆コントロールインフラと通信します。60秒ごとにntp.timesync.toを名前解決し、ポート123宛てに48バイトのUDPパケットを送信します。
このマルウェアはフォールバックドメインとしてntp.synctime.toおよびntp.syncstime.toを使用することもあります。パケットはNTP応答に似せて作られていますが、実際にプロトコルに準拠しているのは先頭4バイトのみです。
残りのバイト部分にはチャンク化されたMessagePackデータが含まれており、これにより感染したホストのエージェントID、ホスト名、ユーザー名、OSの詳細情報、稼働時間、メモリおよびディスクの使用状況、root権限の有無、インプラントのバージョンなどが漏洩する可能性があります。
管理者は自社のインフラにおいて、kworkerやfc-cacheという名前のプロセス、不審なcronエントリ、/tmp内の隠しファイル、そしてMagentoのvar/report/ディレクトリ内にあるx_trace_を含むテンプレートの痕跡がないか確認する必要があります。
Sansecは、自社のShieldおよびeComscan製品を通じて検知・修復のサポートを提供しています。
不審なプロセスを発見した加盟店は、影響を受けたサーバーを隔離し、二次的なバックドアがないか調査したうえで永続化の仕組みを除去し、Magentoの認証情報をローテーションする必要があります。
セキュリティチームに、不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。 ANY.RUNで調査能力を強化
翻訳元: https://cyberpress.org/hackers-exploit-stylesmuggler-magento-adobe-commerce-zero-day/
