StyleSmuggler: экстренное обновление для Magento и Adobe Commerce

Пришло уведомление от Adobe: вышла экстренная правка для Magento и Adobe Commerce из-за критической уязвимости StyleSmuggler с баллом 10,0 по CVSS. Она позволяет без логина выполнить произвольный код на сервере — и уже активно используются в атаках.

Проблема затрагивает версии с 2.4.4 по 2.4.9. Хакеры используют обход через систему шаблонов: сначала заставляют Magento записать вредоносный PHP-код в служебный файл через лог или ошибку, а потом — при рендеринге письма «Payment Transaction Failed Reminder» — запускают его. При этом даже если письмо не отправится, эксплуатация срабатывает.

Считаю, что это не просто «ещё одна уязвимость» — это прямая возможность взять под контроль сервер. Маскировка бэкдора под системные процессы (kworker, fc-cache, chronyd) — признак серьёзного уровня атаки. Пока не видел, чтобы уязвимости такого масштаба оставались без активной эксплуатации.

Уже начал проверять у клиентов, кто на затронутых версиях. Для тех, кто ещё не обновился — поставил в план на неделю. Пока не тороплюсь с массовым обновлением: проверяю, нет ли у клиентов подозрительных писем или процессов. Если найду — начну с резервной копии и только потом обновлю.