Kelemahan Bernilai 10 daripada 10 dalam Magento dan Adobe Commerce: Apa yang Sebenarnya Berlaku

Jawapan terus dahulu: pada 4 September 2026, penyerang mula mengeksploitasi kelemahan yang belum ditampal dalam Magento Open Source dan Adobe Commerce, yang direkodkan sebagai CVE-2026-75650 dengan skor keterukan 10.0 — yang tertinggi mungkin. Kelemahan ini membolehkan arahan dilaksanakan pada pelayan kedai tanpa log masuk dan tanpa sebarang keistimewaan langsung, dan Adobe mengeluarkan pembaikannya pada petang 7 September. Ini bermakna ada tiga hari penuh ketika kedai-kedai terdedah tanpa sebarang perlindungan. Itulah sebabnya memasang tampalan sahaja tidak mencukupi: jika kedai anda berjalan pada platform ini, andaian yang selamat ialah anda mungkin telah dikompromi sebelum pembaikan wujud, dan tindak balas yang betul ialah mencari tanda-tanda pencerobohan serta menukar kunci penyulitan dan setiap bukti kelayakan — bukan memasang kemas kini lalu meneruskan hari seperti biasa.

Siapa sebenarnya yang terjejas

Senarainya luar biasa luas, kerana ia merangkumi keluaran terbaharu yang tersedia ketika kelemahan ditemui:

  • Magento Open Source dan Adobe Commerce: versi 2.4.4 hingga 2.4.9, termasuk semua kemas kini tampalan sehingga Ogos 2026.
  • Adobe Commerce B2B: versi 1.3.3 hingga 1.5.3, sehingga kemas kini Ogos 2026.
  • Apa-apa yang lebih lama daripada 2.4.4: sudah tidak disokong, dan kategori paling berbahaya kerana hotfix rasmi tidak meliputinya.

Secara terus terang: jika pada 1 September anda menjalankan Magento yang dikemas kini sepenuhnya, anda tetap terdedah. Ini bukan senario kecuaian biasa yang sering kami beri amaran — ini zero-day sebenar yang tiada siapa mampu mendahuluinya.

Cara serangan berfungsi tanpa kata laluan

Serangan ini berlaku dalam dua peringkat dan menyalah guna keupayaan Magento untuk membina templat e-mel. Pada peringkat pertama, penyerang menghantar permintaan yang direka khas ke laluan respons pembayaran, dan keseluruhan kandungan permintaan itu ditulis ke dalam fail laporan ralat pada pelayan. Pada peringkat kedua, permintaan ke titik akhir GraphQL merujuk semula kepada fail yang telah diracun itu, dan kandungannya dilaksanakan semasa e-mel peringatan kegagalan pembayaran sedang disediakan.

Bahagian yang wajar diberi perhatian oleh pemilik perniagaan bukanlah butiran teknikalnya, tetapi apa yang didedahkannya: laluan awam yang kelihatan sama sekali tidak berbahaya — respons gerbang pembayaran, titik akhir pertanyaan untuk hadapan kedai, e-mel automatik — digabungkan menjadi laluan lengkap ke dalam pelayan. Kerentanan serius jarang sekali berupa satu pintu yang terbuka luas; jauh lebih kerap ia adalah rangkaian pintu kecil, yang setiap satunya kelihatan sangat munasabah jika dilihat bersendirian.

Apa yang ditanam oleh penyerang setelah berada di dalam

Di sinilah perbezaan antara perosak biasa dan operasi tersusun terserlah. Muatan yang diperhatikan bukanlah nota perisian tebusan yang bising, tetapi alat kegigihan yang senyap:

  • Pintu belakang yang ditulis dalam Rust yang menyamar sebagai salah satu proses kernel sistem pengendalian, supaya ia tidak menonjol kepada sesiapa yang sekadar meneliti senarai proses secara sepintas lalu.
  • Trafik perintah dan kawalan yang disamarkan melalui port penyegerakan masa, supaya aktiviti itu kelihatan seperti pelarasan jam rutin dalam log rangkaian.
  • Web shell PHP yang ditulis di dalam folder cache imej produk — tempat yang biasanya tiada siapa periksa kerana penuh dengan fail sementara.
  • Alat akses jauh tambahan daripada penyerang kedua dengan alat yang tidak berkaitan, bermakna kelemahan ini dieksploitasi oleh lebih daripada satu kumpulan pada masa yang sama.

Matlamat muatan seperti ini pada kedai dalam talian yang terkenal ialah untuk kekal lama dan membaca data pesanan dan pembayaran ketika ia melalui sistem — bukan untuk melumpuhkan laman. Kedai yang dijangkiti terus beroperasi dengan normal sepenuhnya, dan itulah bahagian yang meresahkan.

Mengapa memasang kemas kini sahaja tidak mencukupi

Kerana jika penyerang telah masuk sebelum 7 September, mereka kini memegang salinan kunci penyulitan dan bukti kelayakan anda yang tersimpan. Tampalan menutup pintu yang mereka lalui; ia tidak mengusir mereka dari dalam. Panduan Adobe sendiri jelas tentang perkara ini: gunakan pembaikan dan kemudian tukar kunci penyulitan, kata laluan panel pentadbir, token API, bukti kelayakan gerbang pembayaran, kata laluan pangkalan data dan kunci akses pelayan.

Tampalan menghentikan pendarahan. Menukar kunci itulah yang mengeluarkan tetamu tidak diundang dari rumah.

Pelan tindakan praktikal untuk pemilik kedai

  • Pertama — sahkan bahawa pembaikan benar-benar dipasang, bukan sekadar seseorang berkata ia sudah dipasang. Minta pasukan anda bukti daripada log tampalan pada pelayan itu sendiri, bukan mesej yang menenangkan.
  • Kedua — semak kesan pencerobohan: proses berjalan yang mencurigakan dengan nama yang meniru proses sistem, fail PHP di dalam folder media dan imej, serta fail laporan ralat yang luar biasa.
  • Ketiga — semak log e-mel keluar. Lonjakan mendadak e-mel peringatan kegagalan pembayaran ialah penunjuk langsung cubaan eksploitasi, dan mana-mana ketua operasi boleh membacanya tanpa kepakaran keselamatan yang mendalam.
  • Keempat — tukar setiap kunci tanpa pengecualian, terutamanya bukti kelayakan gerbang pembayaran. Ini memerlukan tetingkap penyelenggaraan yang dirancang, bukan keputusan spontan pada waktu puncak.
  • Kelima — jika versi anda lebih lama daripada 2.4.4, berhenti menunggu tampalan rasmi yang tidak akan tiba. Tetapkan pelan naik taraf dengan tarikh yang sebenar, dan sementara itu letakkan kedai di belakang tembok api aplikasi web.
  • Keenam — dokumentasikan apa yang anda lakukan. Jika ternyata data pelanggan telah bocor, anda akan memerlukan garis masa tentang apa yang anda lakukan dan bila.

Sudut peraturan di Arab Saudi: data pelanggan bukan sekadar perkara teknikal

Kedai dalam talian yang menyimpan nama, alamat, nombor telefon bimbit dan sejarah pesanan pelanggan sedang memproses data peribadi yang dikawal oleh Undang-undang Perlindungan Data Peribadi. Pelanggaran tidak kekal sebagai urusan dalaman antara kedai dan penyedia pengehosannya; ia mewujudkan kewajipan terhadap pihak berkuasa yang berwibawa dan terhadap subjek data itu sendiri. Oleh itu, soalan yang patut ditanya oleh pemilik kedai hari ini bukan sahaja "adakah pelayan sudah ditampal", tetapi "bolehkah saya membuktikan bahawa data pelanggan saya tidak disentuh".

Jika kedai anda berjalan pada platform awan terurus seperti Salla atau Zid, anda berada di luar skop kelemahan khusus ini, kerana menampal platform bukan tanggungjawab anda. Namun pengajaran yang sama terpakai kepada mana-mana sambungan atau integrasi pihak ketiga yang telah anda sambungkan ke kedai anda: tanggungjawab menampal mengikut siapa yang memiliki pelayan.

Cara kami mengendalikan insiden seperti ini di Origami

Prinsip yang menjadi asas kami membina sistem pelanggan ialah insiden keselamatan bukan kemungkinan yang jauh, tetapi peristiwa yang tertangguh. Dalam amalan, ini bermakna tiga perkara: bukti kelayakan disimpan di luar pangkalan kod dalam peti besi berasingan supaya menukarnya hanya mengambil masa beberapa minit, bukan projek selama seminggu; log operasi disimpan di luar pelayan itu sendiri supaya penyerang tidak dapat memadamkan jejak mereka; dan sandaran yang benar-benar telah diuji dengan memulihkannya, bukan sekadar dijadualkan.

Dan jika anda menjalankan kedai Magento tanpa pasukan teknikal khusus, langkah yang betul hari ini adalah mudah: minta penyedia pengehosan atau rakan kongsi teknikal anda menyediakan laporan bertulis yang menjawab tiga soalan sahaja — bila tepatnya pembaikan dipasang, apa yang ditemui oleh imbasan kompromi, dan sama ada kunci-kunci telah ditukar. Tiga soalan itu mendedahkan lebih banyak tentang kesediaan rakan kongsi teknikal berbanding mana-mana pembentangan.

Sumber

  • Pengumuman rasmi Adobe Commerce tentang kemas kini keselamatan APSB26-146 dan hotfix segera: experienceleague.adobe.com
  • Analisis teknikal Sansec tentang CVE-2026-75650 dan penunjuk kompromi: sansec.io/research/stylesmuggler-0day
  • Katalog Kerentanan Dieksploitasi yang Diketahui oleh CISA: cisa.gov
  • Undang-undang Perlindungan Data Peribadi (PDPL) — Pihak Berkuasa Data dan Kecerdasan Buatan Saudi (SDAIA): sdaia.gov.sa