StyleSmuggler IOC Toolkit — CVE-2026-75650

ثغرة يوم صفر في Magento · ثغرة يوم صفر في Adobe Commerce · CVE-2026-75650 · APSB26-146 · VULN-39341 · تنفيذ أوامر عن بُعد دون مصادقة · برمجيات خبيثة في Magento · إزالة باب خلفي في Magento · ثغرة Magento 2.4.9 · برمجية Rust الخبيثة · حقن أنماط GraphQL · PHP web shell

مؤشرات اختراق مجتمعية، وأداة فحص للاختراق، وإرشادات للتخفيف والترقيع خاصة بـ StyleSmuggler (CVE-2026-75650) — ثغرة تنفيذ الأوامر عن بُعد (RCE) دون مصادقة في Magento Open Source / Adobe Commerce التي أعلنت عنها Sansec في 5 سبتمبر 2026، مع تأكيد استغلالها في البرية اعتبارًا من 4 سبتمبر 2026. نشرت Adobe إصلاحًا رسميًا، APSB26-146، في 7 سبتمبر 2026. إذا كنت تبحث عن "StyleSmuggler IOC" أو "CVE-2026-75650" أو "APSB26-146" أو "VULN-39341" أو "Magento fc-cache malware" أو "Magento chronyd backdoor" أو "gvfsd-user Magento" أو "Magento GraphQL styles RCE"، فهذا هو المستودع الذي تريده.

هذه مجموعة أدوات دفاعية فقط. تحتوي على توقيعات كشف، وأداة فحص للاختراق، وقواعد تقوية وحظر مبنية على تقارير حوادث منشورة ومباشرة. وهي لا تحتوي على شيفرة استغلال، أو محفّز إثبات مفهوم، أو أي شيء يولّد حمولة الهجوم. إذا كنت تبحث عن ذلك، فأنت في المستودع الخطأ — اذهب ورقع وافحص بدلًا من ذلك.

الحالة اعتبارًا من وقت كتابة هذا النص (2026-09-16)

الثغرة	StyleSmuggler (اسم Sansec) — CVE-2026-75650
المورّد	Adobe (Magento Open Source، Adobe Commerce)
CVE	CVE-2026-75650، تم تعيينه في 2026-09-07
نشرة Adobe	APSB26-146، نُشرت في 2026-09-07 20:20 UTC، الأولوية 1 (الأعلى)
مطلوب أيضًا	APSB26-138 (تحديث Adobe Commerce الدوري لشهر سبتمبر 2026، التصحيح المعزول 249-2026-09-001-CE، الصادر في 2026-09-08). تنص Adobe على أنه يجب تطبيق VULN-39341 بالإضافة إلى هذا، وليس بدلًا منه.
CVSS	10.0 (3.1 و4.0) — حرجة. المتجه الكامل لـ 3.1: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE	CWE-1336، التحييد غير السليم للعناصر الخاصة المستخدمة في محرك القوالب
CISA KEV	أُضيفت إلى كتالوج الثغرات المعروفة المستغلة لدى CISA في 2026-09-08. الموعد النهائي للمعالجة للفرع التنفيذي المدني الفيدرالي (FCEB): 2026-09-11. يُشير إدخال CISA أيضًا إلى أن هذه الثغرة تتطلب فرزًا جنائيًا/استجابة للحوادث، مع إدراج استخدامها في حملات الفدية المعروفة على أنه "غير معروف". لم تعد هذه مشكلة مجتمع Magento فحسب — بل أصبحت الآن ثغرة تنفيذ تعليمات برمجية عن بُعد (RCE) مُتتبَّعة فيدراليًا ومُستغَلّة بنشاط.
التصحيح الرسمي	تم إصداره. الإصلاح العاجل VULN-39341. التغطية ليست شاملة — انظر الجدول أدناه.
المصادقة المطلوبة	لا شيء — بدون مصادقة
كود استغلال عام	لا يوجد إثبات مفهوم (PoC) رسمي من Adobe/Sansec، لكن التغطية المؤكدة تشير إلى مستودع GitHub عام (أُنشئ حوالي 8 سبتمبر) يصف نفسه بأنه إعادة إنتاج لسلسلة الاستغلال الكاملة من مختبر بحثي — عبارة "لا يوجد كود استغلال عام" أضعف مما تبدو عليه. انظر docs/VULNERABILITY.md.
الإصدارات المتأثرة	أعادت Sansec إنتاجها على Magento Open Source 2.4.7 و2.4.8 و2.4.9 النظيفة؛ أول ضحية مؤكدة كانت تشغّل 2.4.6-p15 مُصحّحة بالكامل (على تصحيحات سابقة)
الاستغلال	نشط منذ 2026-09-04 22:20 UTC؛ واستمر خلال إصدار التصحيح؛ تم تأكيد ثلاث مجموعات أدوات مستقلة على الأقل تستغل نفس نقطة الدخول حتى 2026-09-14. تُفيد إحدى شبكات تتبع الاستغلال بـ أكثر من 500 عنوان IP مصدري متميز منذ 9 سبتمبر. تُفيد بيانات القياس عن بُعد من جدار حماية تطبيقات الويب (WAF) لطرف ثالث (Imperva) بأن الأهداف المرصودة تميل نحو التجزئة (~39.5%) ونمط الحياة (~19.5%) والرعاية الصحية (~17.9%) — وهي لقطات من رؤية مورّدين فرديين، وليست ادعاءً بشأن إجمالي عدد المتاجر المعرضة للخطر.
متغيرات برمجية Rust الخبيثة المعروفة	[kworker/u:8:0] (4 سبتمبر) → fc-cache v2.1.4 (6 سبتمبر) → chronyd v2.1.5 (7 سبتمبر) — نفس المشغّل، نفس معرّف الوكيل، الإصدارات تتزايد. لوحظ أن نسخة chronyd تعيد تشغيل نفسها دون إدخال cron وبأب من نوع PID-1.
مهاجم ثانٍ غير مرتبط	قوقعة ويب PHP في pub/media/catalog/product/cache/، سبقتها استطلاع استكشافي لتسريب البيانات عبر DNS — مستقل عن برمجية Rust الخبيثة، تم تأكيده في 2026-09-07
مجموعة أدوات ثالثة متميزة	تم تأكيدها في 2026-09-14. باب خلفي لتضمين ملفات عن بُعد (RFI) تم تحريره مباشرة في ملف إطار العمل الأساسي vendor/magento/framework/App/View.php، محمي بكوكي (gl_google_advisor_824808) متنكّر في هيئة تتبع تقني إعلاني. يجلب حمولة عن بُعد وينفّذها عند الطلب، ثم يحذف الملف المؤقت — لا يبقى شيء على القرص بين الطلبات سوى السطر الواحد المُعدَّل في ملف مورّد.
التفجير دون البريد الإلكتروني	تم تأكيده في 2026-09-14. سلسلة ثانية تصل إلى تنفيذ كامل للكود عبر POST /paypal/transparent/response/ (مصدر PHP في سلسلة الاستعلام) دون عرض بريد "فشل الدفع" إطلاقًا — علامات MGPROOF::/MGKWSIM::، تنفيذ أوامر مباشر عبر معامل kwc. التخفيفات المبنية حول محفّز البريد الإلكتروني وحده لا تغطي هذا.
نواقل التسليم المعروفة	معامل styles[] في GraphQL؛ رمز متجر غير صالح يُسجَّل في var/log/system.log؛ ملف يُرفع عبر خيارات العميل المخصصة في Magento؛ حقن ترويسة Store: الخاص بالمهاجم الثاني غير المرتبط؛ مصدر PHP في سلسلة استعلام /paypal/transparent/response/ (مستقل عن البريد الإلكتروني)
التأثير	تنفيذ تعليمات برمجية عن بُعد → باب خلفي دائم قائم على Rust، وقوقعة ويب PHP مستقلة، وباب خلفي RFI خفي على مستوى إطار العمل، وحصاد جلسات Redis، وتعريض بيانات الاعتماد/الأسرار عبر app/etc/env.php

تغطية Adobe الرسمية للتصحيحات — تحقّق من هذا قبل افتراض أنك بأمان

المنتج	مشمول بـ APSB26-146	لا يوجد إصلاح رسمي
Adobe Commerce (بما في ذلك B2B وCloud)	2.4.4 – 2.4.9	أقل من 2.4.4
Adobe Commerce B2B	1.3.3 – 1.5.3	أقل من 1.3.3
Magento Open Source	2.4.6 – 2.4.9 فقط	2.4.5 وما دون

إذا كنت تستخدم إصدارًا أقدم غير مدعوم، فإن Adobe لا توفّر لك إصلاحًا رغم أنك عرضة للاستغلال بالقدر نفسه. راجع docs/PATCHING.md لمعرفة خياراتك — بما في ذلك ملاحظة لمستخدمي Mage-OS، الذين لديهم إصدار طارئ مخصص (3.5.0) بدلًا من حزمة التصحيح السريع الخاصة بـ Commerce من Adobe.

هذه المعلومات تتغير بسرعة. تحقّق منها مقابل المصادر الأولية قبل التصرف: استشارة Sansec و نشرة Adobe. راجع docs/TIMELINE.md للاطلاع على سجل متجدد، واذكر مصادرك عند تحديث أي شيء هنا.

ما هو StyleSmuggler في الواقع

يُستغل معامل styles الخاص بـ GraphQL في Magento نفسه، ومسح الملفات القائم على حقن التبعيات (dependency injection)، كأساس أولي للتنفيذ المؤجل القائم على الملفات. تتكون السلسلة الموثقة أصلًا من مرحلتين، لكن — اعتبارًا من تحديث Sansec في 14 سبتمبر — ليست هي السلسلة المؤكدة الوحيدة، ولا يتطلب التفجير دائمًا ما وصفته المرحلة الثانية أصلًا:

1. التسميم. تصل بيانات يتحكم بها المهاجم إلى ملف سجل أو تقرير يُنشئه Magento (var/log/system.log عبر رمز متجر غير صالح يسجّله Magento حرفيًا، أو var/report/<hash>)، مُهرَّبة عبر معامل styles[] في GraphQL، أو ترويسة طلب معدّلة، أو (بالنسبة للمهاجم الثاني المستقل أدناه) ترويسة Store:.
2. التفجير. يُشغّل المهاجم بريد "Payment Transaction Failed Reminder" القياسي في Magento. إن عرض ذلك البريد (مسار getProcessedTemplate في Magento) يسلك مسارًا برمجيًا يتيح لماسح DI/الشيفرة الخاص بـ Magento نفسه أن include() الملف المسموم، فيُنفّذ شيفرة PHP الخاصة بالمهاجم. لا تحتاج إلى فتح البريد — يكفي عرضه على الخادم — ويمكن للسلسلة أن تنطلق حتى عندما يفشل تسليم البريد نفسه.

علامة إنذار مبكر سهلة، دون أي أدوات: بريد "Payment Transaction Failed Reminder" مشوّه في صندوق بريدك مع وسوم {{var ...}} خام غير معروضة وعنوان عميل ينتهي بـ .invalid. غالبًا ما تكون هذه هي العلامة المرئية الأولى، قبل أن يفحص أي شخص أي سجل.