已揭露的漏洞與立即影響
荷蘭電子商務安全公司 Sansec 於 2026 年 9 月 5 日揭露了一個名為 StyleSmuggler 的零日漏洞，並警告未經身分驗證的攻擊者已在 Magento 開源版與 Adobe Commerce 安裝環境上執行遠端程式碼，全面接管線上商店。Sansec 表示攻擊始於 9 月 4 日，並指出提前公佈是「因為商店正遭到入侵」。此漏洞影響所有現行版本線，包括 Magento 開源版 2.4.9，而 Sansec 已於 2.4.7、2.4.8 及 2.4.9 的全新安裝環境中重現完整的未驗證攻擊鏈。首位確認受害的店家執行 2.4.6-p15 並已完整套用 Adobe 2026 年 7 月與 8 月的安全性更新，顯示完整修補的商店與未更新的商店同樣容易遭到入侵。
截至 9 月 6 日 Adobe 的修補狀態
截至 9 月 6 日，Adobe 尚未發布公告、指派 CVE 編號，亦未提供任何官方修補或暫時緩解方式。其 Adobe Commerce 安全性公告索引在 2026 年 8 月 11 日更新之後即無新內容，而 Sansec 尚未公佈對 Adobe Commerce 或 Adobe Commerce on Cloud 的重現攻擊，Adobe 仍未確認哪些版本受到影響。Sansec 並未說明已有多少店家遭到入侵，對於未使用其 Shield 產品的店家，所提供的暫時性建議是在 Adobe 釋出修補前先暫時停用 GraphQL。Adobe 下一次預定的安全性更新為 2026 年 9 月 8 日，目前尚不清楚該次更新是否會修補此漏洞。
StyleSmuggler 的運作方式
這項攻擊利用 Magento 自身的範本渲染與電子郵件系統，分兩個階段進行。在第一階段，攻擊者透過操控 GraphQL 請求中的「styles」屬性來繞過既有的輸入清理機制，將惡意 PHP 程式碼植入 Magento 在正常運作時所寫入的檔案中（例如付款失敗報告）。根據 Magento 代管服務商 Disrex Group 的獨立分析——該公司曾處理過兩家遭入侵的商店——發現注入文字中經過精心設計的指令會迫使 Magento 自身的類別執行原本僅供命令列依賴注入編譯器使用的程式碼，包括遭攻擊者植入惡意內容的記錄檔。第二階段則觸發執行程式碼：StyleSmuggler 會促使 Magento 寄送其標準的「Payment Transaction Failed Reminder」（付款交易失敗提醒）電子郵件，而當 Magento 內部渲染該郵件訊息的當下，受汙染的程式碼便會立即執行，無需任何人開啟或接收該郵件。
獨立確認與植入程式行為
Disrex Group 於 9 月 5 日發布了其自行的事件應變儲存庫，記錄了兩家遭入侵的商店以及一家遭受攻擊但未遭入侵的商店，並表示其網頁伺服器規則是根據其中一家遭入侵商店所擷取到的攻擊流量所制定的。Disrex 向 The Hacker News 表示，這兩家遭入侵的商店均使用 Magento Open Source 而非 Adobe Commerce，並透過其 RexHosting 品牌進行代管；其中 Store A 採用 2.4.8 版本，且為 Sansec Shield 客戶，於 9 月 4 日 23:10 UTC 首度遭受攻擊；Store B 則採用 2.4.7-p2 版本，於 9 月 5 日 00:55 UTC 首度遭受攻擊。一旦觸發，PHP dropper 會循環使用六個 PHP 函式來衍生行程，接著下載一個持久型植入程式。Disrex 將其描述為一個約 1.9 MB、為 x86-64 與 ARM64 編譯的靜態連結 Rust 二進位檔案，其偽裝成一個名為「[kworker/u:8:0]」的 Linux 核心執行緒，並透過寫入 crontab 暫存檔案的 cron 項目每五分鐘重新啟動一次，以避免留下一般的系統記錄。
偵測挑戰與防禦注意事項
偵測感染情況相當複雜，因為該植入程式會規避簡易的檢查——它呈現為一個由 root 擁有的合法 Linux 核心 worker 執行緒，且不佔用任何常駐記憶體——因此任何以網站使用者帳號身分執行、且具有實際記憶體用量的中括號「[kworker]」行程都值得調查。Disrex 也發現記憶體中的二進位檔案有時會與磁碟上的檔案不同，因此建議防禦者對兩者都進行雜湊運算。Disrex 的儲存庫本身附帶警告，指出該內容是在實際事件發生期間以 AI 輔助在數小時內撰寫而成，未經審閱，其 Apache 規則從未在實際執行的 Apache 伺服器上測試，且大多數清理指令僅有撰寫而未實際執行。Disrex 將其與 Sansec 觀察到的首次攻擊利用事件之間的落差描述為大約八小時才出現任何對應防禦措施，並補充表示：「在這次事件中，修補狀態根本無關緊要，這正是商家最需要聽到的訊息。」
分享這篇文章
