StyleSmuggler IOC टूलकिट — CVE-2026-75650

Magento ज़ीरो-डे · Adobe Commerce ज़ीरो-डे · CVE-2026-75650 · APSB26-146 · VULN-39341 · अनधिकृत RCE · Magento मैलवेयर · Magento बैकडोर हटाना · Magento 2.4.9 भेद्यता · Rust इम्प्लांट · GraphQL स्टाइल्स इंजेक्शन · PHP वेब शेल

StyleSmuggler (CVE-2026-75650) के लिए सामुदायिक संकेत-की-समझौता (indicators-of-compromise), एक समझौता स्कैनर, और शमन/पैचिंग मार्गदर्शन — यह अनधिकृत Magento Open Source / Adobe Commerce RCE है जिसे Sansec ने 5 सितंबर, 2026 को प्रकट किया, तथा 4 सितंबर, 2026 से जंगल में शोषण की पुष्टि हुई। Adobe ने 7 सितंबर, 2026 को आधिकारिक फ़िक्स, APSB26-146, प्रकाशित किया। यदि आपने "StyleSmuggler IOC", "CVE-2026-75650", "APSB26-146", "VULN-39341", "Magento fc-cache malware", "Magento chronyd backdoor", "gvfsd-user Magento", या "Magento GraphQL styles RCE" खोजा है, तो यह वही रेपो है जो आप चाहते हैं।

यह केवल एक रक्षात्मक टूलकिट है। इसमें डिटेक्शन सिग्नेचर, एक समझौता स्कैनर, और प्रकाशित, प्रत्यक्ष घटना रिपोर्टों से निर्मित हार्डनिंग/ब्लॉकिंग नियम शामिल हैं। इसमें कोई एक्सप्लॉइट कोड, प्रूफ़-ऑफ़-कॉन्सेप्ट ट्रिगर, या ऐसा कुछ भी नहीं है जो हमले का पेलोड उत्पन्न करता हो। यदि आप उसकी तलाश में हैं, तो आप गलत रेपो में हैं — इसके बजाय पैच करें और शिकार करें।

इस लेखन के समय स्थिति (2026-09-16)

भेद्यता	StyleSmuggler (Sansec का नाम) — CVE-2026-75650
विक्रेता	Adobe (Magento Open Source, Adobe Commerce)
CVE	CVE-2026-75650, 2026-09-07 को आवंटित
Adobe बुलेटिन	APSB26-146, 2026-09-07 20:20 UTC को प्रकाशित, प्राथमिकता 1 (उच्चतम)
अतिरिक्त आवश्यक	APSB26-138 (Adobe का नियमित सितंबर 2026 Commerce अपडेट, पृथक पैच 249-2026-09-001-CE, 2026-09-08 को जारी)। Adobe कहता है कि VULN-39341 को इसके अतिरिक्त लागू किया जाना चाहिए, इसके बजाय नहीं।
CVSS	10.0 (3.1 और 4.0) — गंभीर। पूर्ण 3.1 वेक्टर: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE	CWE-1336, टेम्पलेट इंजन में उपयोग किए जाने वाले विशेष तत्वों का अनुचित निष्प्रभावीकरण
CISA KEV	2026-09-08 को CISA की Known Exploited Vulnerabilities सूची में जोड़ा गया। संघीय नागरिक कार्यकारी शाखा (FCEB) उपचार समय-सीमा: 2026-09-11। CISA की प्रविष्टि इसे फोरेंसिक/IR ट्राइएज की आवश्यकता वाला भी चिह्नित करती है, जिसमें ज्ञात रैनसमवेयर-अभियान उपयोग "अज्ञात" के रूप में सूचीबद्ध है। यह केवल Magento-समुदाय की समस्या नहीं है — यह अब संघीय रूप से ट्रैक किया जाने वाला, सक्रिय रूप से शोषित RCE है।
आधिकारिक पैच	जारी किया गया। हॉटफ़िक्स VULN-39341। कवरेज सार्वभौमिक नहीं है — नीचे तालिका देखें।
प्रमाणीकरण आवश्यक	कोई नहीं — अनप्रमाणित
सार्वजनिक एक्सप्लॉइट कोड	Adobe/Sansec से कोई आधिकारिक PoC नहीं, लेकिन पुष्टि करने वाली कवरेज एक सार्वजनिक GitHub रेपो का उल्लेख करती है (लगभग 8 सितंबर को बनाया गया) जो स्वयं को पूरी श्रृंखला के एक शोध-प्रयोगशाला पुनरुत्पादन के रूप में वर्णित करता है — "कोई सार्वजनिक एक्सप्लॉइट कोड नहीं" जितना सुनाई देता है उससे कमज़ोर है। देखें docs/VULNERABILITY.md।
प्रभावित संस्करण	Sansec द्वारा स्वच्छ Magento Open Source 2.4.7, 2.4.8, 2.4.9 पर पुनरुत्पादित; पहला पुष्ट शिकार 2.4.6-p15 चला रहा था जो पूरी तरह पैच किया गया था (पूर्व पैच पर)
शोषण	2026-09-04 22:20 UTC से सक्रिय; पैच जारी होने तक जारी रहा; 2026-09-14 तक कम से कम तीन स्वतंत्र टूलकिट उसी प्रवेश बिंदु का शोषण करते हुए पुष्ट किए गए। एक एक्सप्लॉइट-ट्रैकिंग नेटवर्क 9 सितंबर से 500+ विशिष्ट स्रोत IP की रिपोर्ट करता है। तृतीय-पक्ष WAF टेलीमेट्री (Imperva) रिपोर्ट करती है कि देखे गए लक्ष्य रिटेल (~39.5%), लाइफस्टाइल (~19.5%), और हेल्थकेयर (~17.9%) की ओर झुके हुए हैं — ये व्यक्तिगत विक्रेताओं की दृश्यता के स्नैपशॉट हैं, संपूर्ण भेद्य स्टोर आबादी के बारे में दावा नहीं।
ज्ञात Rust-इम्प्लांट वेरिएंट	[kworker/u:8:0] (4 सितंबर) → fc-cache v2.1.4 (6 सितंबर) → chronyd v2.1.5 (7 सितंबर) — एक ही ऑपरेटर, एक ही एजेंट ID, संस्करण बढ़ते हुए। chronyd बिल्ड को बिना किसी cron प्रविष्टि और PID-1 पैरेंट के स्वयं-पुनःलॉन्च होते हुए देखा गया है।
दूसरा, असंबंधित हमलावर	pub/media/catalog/product/cache/ में PHP वेब शेल, जिससे पहले एक DNS-एक्सफ़िल्ट्रेटिंग रेकॉन प्रोब था — Rust इम्प्लांट से स्वतंत्र, 2026-09-07 को पुष्ट
तीसरा, भिन्न टूलकिट	2026-09-14 को पुष्ट। एक रिमोट-फ़ाइल-इन्क्लूड बैकडोर जो सीधे कोर फ्रेमवर्क फ़ाइल vendor/magento/framework/App/View.php में संपादित किया गया, जो एक कुकी (gl_google_advisor_824808) द्वारा नियंत्रित है और जिसे एड-टेक ट्रैकिंग के रूप में प्रच्छन्न किया गया है। मांग पर एक रिमोट पेलोड प्राप्त और निष्पादित करता है, फिर क्षणिक फ़ाइल को हटा देता है — अनुरोधों के बीच डिस्क पर कुछ भी नहीं रहता सिवाय एक विक्रेता फ़ाइल में उस एक छेड़छाड़ की गई पंक्ति के।
ईमेल के बिना डेटोनेशन	2026-09-14 को पुष्ट। एक दूसरी श्रृंखला POST /paypal/transparent/response/ (क्वेरी स्ट्रिंग में PHP स्रोत) के माध्यम से पूर्ण कोड निष्पादन तक पहुँचती है, बिना कभी "failed payment" ईमेल रेंडर किए — मार्कर MGPROOF::/MGKWSIM::, kwc पैरामीटर के माध्यम से सीधा कमांड निष्पादन। केवल ईमेल ट्रिगर के आसपास बनाए गए शमन उपाय इसे कवर नहीं करते।
ज्ञात डिलीवरी वेक्टर	GraphQL styles[] पैरामीटर; अमान्य स्टोर कोड var/log/system.log में लॉग किया गया; Magento के ग्राहक कस्टम विकल्पों के माध्यम से अपलोड की गई फ़ाइल; असंबंधित दूसरे हमलावर का Store:-हेडर इंजेक्शन; /paypal/transparent/response/ क्वेरी स्ट्रिंग में PHP स्रोत (ईमेल-स्वतंत्र)
प्रभाव	रिमोट कोड निष्पादन → स्थायी Rust-आधारित बैकडोर, स्वतंत्र PHP वेब शेल, एक गुप्त फ्रेमवर्क-स्तरीय RFI बैकडोर, Redis सत्र हार्वेस्टिंग, app/etc/env.php के माध्यम से क्रेडेंशियल/सीक्रेट एक्सपोज़र

Adobe की आधिकारिक पैच कवरेज — यह मानने से पहले कि आप सुरक्षित हैं, इसे जाँचें

उत्पाद	APSB26-146 द्वारा कवर	कोई आधिकारिक फ़िक्स नहीं
Adobe Commerce (B2B, Cloud सहित)	2.4.4 – 2.4.9	2.4.4 से नीचे
Adobe Commerce B2B	1.3.3 – 1.5.3	1.3.3 से नीचे
Magento Open Source	केवल 2.4.6 – 2.4.9	2.4.5 और उससे नीचे

यदि आप किसी पुराने, असमर्थित संस्करण पर हैं, तो Adobe आपको कोई फ़िक्स नहीं दे रहा है, भले ही आप उतने ही शोषण-योग्य हों। अपने विकल्पों के लिए docs/PATCHING.md देखें — जिसमें Mage-OS उपयोगकर्ताओं के लिए एक नोट भी शामिल है, जिनके पास Adobe के Commerce-विशिष्ट हॉटफ़िक्स पैकेज के बजाय एक समर्पित आपातकालीन रिलीज़ (3.5.0) है।

यह जानकारी तेज़ी से बदलती है। कार्रवाई करने से पहले प्राथमिक स्रोतों से क्रॉस-चेक करें: Sansec की सलाह और Adobe का बुलेटिन। चालू लॉग के लिए docs/TIMELINE.md देखें और यहाँ कुछ भी अपडेट करते समय अपने स्रोतों का उल्लेख करें।

StyleSmuggler वास्तव में क्या है

Magento के अपने GraphQL styles पैरामीटर और इसकी निर्भरता-इंजेक्शन आधारित फ़ाइल स्कैनिंग का दुरुपयोग एक फ़ाइल-आधारित विलंबित-निष्पादन प्रिमिटिव के रूप में किया जाता है। मूल रूप से प्रलेखित श्रृंखला में दो चरण हैं, लेकिन — Sansec के 14 सितंबर अपडेट के अनुसार — यह एकमात्र पुष्ट श्रृंखला नहीं है, और विस्फोटन को हमेशा वही नहीं चाहिए जो चरण दो ने मूल रूप से वर्णित किया था: