Adobeコマース、ゼロデイ脆弱性を悪用されオンラインストアにバックドア設置

脅威アクターがAdobe CommerceおよびMagento eコマースプラットフォームのゼロデイ脆弱性を悪用し、オンラインストアにバックドアを仕掛けていることが、サイバーセキュリティ企業Sansecの報告で明らかになりました。

StyleSmugglerと名付けられたこのセキュリティ上の欠陥は、攻撃者がMagentoのテンプレートシステムにPHPコードを注入し、「styles」プロパティを利用して検知を回避することを可能にします。

Sansecによると、この攻撃は二段階で行われます。まず失敗レポートを生成することでPHPコードが注入され、次にMagentoが支払い失敗通知メールを介してそのコードを実行するという仕組みです。

このリモートコード実行（RCE）の脆弱性はMagentoバージョン2.4.7、2.4.8、2.4.9で動作し、2026年7月および8月のパッチを適用済みの環境に対しても悪用が確認されているとSansecは述べています。

これまでの攻撃では、CommerceおよびMagentoストアに対してバックドアが展開されています。Rustで書かれたこのバックドアは、コマンド&コントロール（C&C）サーバーに接続し、コマンドを待ち受ける様子が確認されました。

Sansecによると、悪用は9月4日に始まり、バックドアは「[kworker/u:8:0]」に偽装されていました。9月6日には、「fc-cache」に偽装した第2バージョンのバックドアが出現しています。

このマルウェアは、C&C通信をNTPサーバーの応答に偽装します。送信されるメッセージには、エージェントID、ホスト名、ユーザー名、メモリ・ディスク使用量、OSバージョン、稼働時間、root権限の有無、インプラントのバージョンといったホスト情報が含まれます。また、C&Cへのビーコン送信前にストアのパブリックIPアドレスも特定します。

「StyleSmugglerは、Magentoの標準機能である『Payment Transaction Failed Reminder（支払い取引失敗通知）』メールを意図的にトリガーします。このメールが通常より大量に発生している場合は調査すべき兆候ですが、正当な理由による支払い拒否でも同じ通知が発生し得る点には注意が必要です」とSansecは指摘しています。

同社の説明によれば、悪意のあるコードはMagentoがメールを再送する際や、メール配信が失敗した際に実行され、悪用の成立にユーザーの操作は一切必要ないとのことです。

「Sansecは9月4日UTC22時40分にこのキャンペーンを発見し、数時間のうちにクリーンな環境で攻撃の一連の流れを再現しました」とSansecは述べています。

Adobeは月例の定例更新「Patch Tuesday」の一環として、9月8日に予定されている修正プログラムをリリースする見込みですが、StyleSmugglerへの対応がいつになるかは不明です。SecurityWeekはAdobeにコメントを求めるメールを送っており、同社から回答があり次第この記事を更新します。