攻撃者は深刻な「StyleSmuggler」の脆弱性を悪用し、認証なしでコードを実行して、脆弱なオンラインストアに検知されにくいバックドアを仕掛けています。
Adobe CommerceおよびMagento Open Sourceを稼働させているオンラインストアが、最深刻度のゼロデイ脆弱性の被害に遭っています。この脆弱性を悪用すると、認証を経ていない攻撃者でも脆弱なサーバー上でコードを実行できてしまいます。
セキュリティ企業のSansecは、攻撃者がMagentoの「Style」プロパティを悪用し、既存の防御策をすり抜けて悪意あるコードを注入する手口にちなみ、この脆弱性を「StyleSmuggler」と名付けています。
Sansecの研究者はブログの投稿で、「攻撃が成功すると、バックドアとなるバックグラウンドプロセスが起動します。これは99.84.67.186のC2サーバーに接続し、コマンドの到着を待つ小型のRust製プログラムです」と述べています。なお、この記事の執筆時点では、このバックドアはまだ武器化(実際の攻撃活動での本格利用)されていなかったとしています。
この脆弱性はCVE-2026-75650として追跡されており、CVSSスコアは10.0、MagentoおよびAdobe Commerceのバージョン2.4.4から2.4.9までが影響を受けます。Magentoは、オンラインストアの構築・運営に使われるeコマースプラットフォームのオープンソース版です。Adobe Commerceは、Magentoの商用・エンタープライズ版に当たります。Adobeは2018年にMagentoを買収しています。
Sansecによると、悪用は9月4日に始まり、確認された最初の攻撃は22:20 UTCに記録されています。同社は、バージョン2.4.7、2.4.8、2.4.9を稼働させたクリーンなMagento Open Sourceのインストール環境に対し、認証不要の攻撃チェーン全体を再現することに成功しました。
被害者の一例は、7月と8月のセキュリティアップデートを両方とも適用済みの2.4.6-p15を稼働させていた、と研究者らは指摘しています。
Adobeはこの脆弱性に対し、緊急ホットフィックスVULN-393411をリリースしています。しかし、修正が提供されるまでの3日間、攻撃者はこの脆弱性を悪用する時間を得ていたため、Sansecはすでに侵害されている可能性のあるストアについては、パッチ適用だけでは不十分だと警告しています。
決済失敗通知メールを起点に発動する攻撃
StyleSmugglerの最初の手口は、決済失敗レポートのように、Magento自体が書き出すデータの中に悪意あるPHPコードを紛れ込ませることです。研究者らは「StyleSmugglerは、Magentoの標準機能である『決済トランザクション失敗リマインダー』メールを意図的にトリガーします」と説明しています。「このようなメッセージが予期せず大量に発生した場合は、調査すべき兆候といえます。ただし、正規の決済拒否でも同じ通知が発生する可能性はあります」としています。
攻撃者は、特別に細工した「styleプロパティ」を渡すことでMagentoのテンプレート処理を悪用し、汚染されたデータ、すなわち注入されたPHPコードをサーバー上で実行させます。
顧客がメールを開く必要すらない、と研究者らは指摘しています。コードはMagentoがメッセージをレンダリングする際に実行されるため、たとえその後メールの配信自体が失敗しても、攻撃は成功し得るのです。
コードの実行に成功すると、攻撃者は次の段階として、小型のRust製バックドアをバックグラウンドプロセスとして起動します。このインプラントは、「[kworker/u:8:0]」や「fc-cache」といった、人の目には不審に見えない名前を名乗るケースが確認されています。
バックドアはまだ武器化されていない
このRust製インプラントは、コマンド&コントロール(C2)通信を確立し、cronジョブを含む永続化の仕組みを利用します。「fc-cache」の亜種は、自身をfontconfigのキャッシュディレクトリにコピーし、1時間に2回再起動するようスケジュール設定していました。そのC2通信は、悪意ある通信を通常のシステム活動に紛れ込ませる狙いから、UDPポート123上のNTPトラフィックを装っていた、と研究者らは指摘しています。
Sansecによれば、このバックドアが実際にインストール後に武器化された証拠は今のところ確認されていません。しかし調査の結果、別の攻撃者がすでに同じStyleSmugglerの侵入経路を悪用していたことが判明しています。
9月7日、Sansecは、この脆弱性を利用してMagentoの商品画像キャッシュ内にWebシェルを展開する、485バイトの別のPHPドロッパーを発見しました。このシェルは、正しいヘッダーが渡されるとPHPコマンドを実行できるもので、Rust製インプラントとは独立した足がかりを、この2番目の攻撃者に与えるものでした。
研究者らは、「pub/media」配下に予期しないPHPファイルがないか確認するとともに、既知の悪意あるプロセスやcronエントリ、その他の侵害指標(IoC)にも注意を払うよう推奨しています。Adobeの緊急ホットフィックスはこの脆弱性自体を塞ぐものですが、侵害されている懸念があるストアについては、インプラントや二次的なバックドアがないかスキャンし、侵害された可能性のある認証情報やシークレットをローテーションすべきです。
