Эксперты компании Sansec предупредили об активной эксплуатации критической уязвимости StyleSmuggler в Magento Open Source и Adobe Commerce. Этот баг позволяет без аутентификации выполнить произвольный код на сервере, и злоумышленники использовали его для установки Linux-бэкдора.
Уязвимость получила идентификатор CVE-2026-75650 и 10,0 балла из 10 возможных по шкале CVSS. Проблема затрагивает версии Adobe Commerce с 2.4.4 по 2.4.9, а также Magento Open Source с 2.4.6 по 2.4.9.
Сегодня, 8 сентября 2026 года, разработчики Adobe выпустили экстренный патч и подтвердили, что уязвимость уже активно применяется хакерами в реальных атаках.
По данным специалистов Sansec, атаки происходят в два этапа, и StyleSmuggler эксплуатирует систему шаблонов Magento. На первом этапе злоумышленник добивается, чтобы Magento записала вредоносный PHP-код в один из своих служебных файлов. Причем атакующий не загружает готовый PHP-файл напрямую, а формирует специально подготовленный запрос, который вынуждает Magento включить PHP-код, например, в системный лог или отчет об ошибке.
После этого, с помощью второго запроса, хакер инициирует создание стандартного письма «Payment Transaction Failed Reminder», и во время рендеринга его шаблона Magento выполняет PHP-код из ранее измененного служебного файла.
При этом код выполняется во время рендеринга сообщения, и пользователю не нужно открывать вредоносное письмо. Исследователи подчеркивают, что атака сработает даже в том случае, если отправка письма вообще завершится ошибкой, так как эксплуатация происходит в момент, когда Magento еще формирует содержимое сообщения на сервере.
По данным исследователей, после успешной атаки на CVE-2026-75650 злоумышленники устанавливали на взломанные серверы бэкдор, написанный на Rust. Изначально этот вредонос маскировал свой процесс под [kworker/u:8:0], имитируя системный поток ядра Linux, но в более новых версиях уже используются имена fc-cache и chronyd.
Бэкдор способен связываться с управляющей инфраструктурой своих операторов и получать от них команды. Ранние образцы вредоноса использовали для этого TLS и WebSocket, а новые версии пытаются маскировать трафик под NTP: отправляют UDP-пакеты на порт 123 и используют домены, похожие на адреса NTP-серверов.
В Sansec отмечают, что одним из признаков компрометации может быть неожиданный всплеск писем «Payment Transaction Failed Reminder». Также администраторам рекомендуют проверить систему в поисках подозрительных процессов kworker, fc-cache и chronyd, неизвестных cron-задач и временных файлов.
Специалисты Adobe рекомендуют как можно скорее установить хотфикс для проблемы CVE-2026-75650. В случае обнаружения на сервере признаков компрометации эксперты советуют сменить учетные данные Magento и проверить систему на наличие бэкдора.
