jithinkrishnanrs/stylesmuggler-ioc-toolkitStyleSmuggler (CVE-2026-75650) toolkit IOC per Magento Open Source e Adobe Commerce. Rileva negozi compromessi, implant Rust, web shell PHP, artefatti di persistenza e indicatori noti di compromissione.
Zero-day Magento · Zero-day Adobe Commerce · CVE-2026-75650 · APSB26-146 · VULN-39341 · RCE non autenticato · malware Magento · rimozione backdoor Magento · vulnerabilità Magento 2.4.9 · impianto Rust · iniezione styles GraphQL · web shell PHP
Indicatori di compromissione (IOC) della community, uno scanner di compromissione e linee guida per la mitigazione/patch di StyleSmuggler (CVE-2026-75650) — la RCE non autenticata di Magento Open Source / Adobe Commerce divulgata da Sansec il 5 settembre 2026, con sfruttamento in-the-wild confermato dal 4 settembre 2026. Adobe ha pubblicato una correzione ufficiale, APSB26-146, il 7 settembre 2026. Se hai cercato "StyleSmuggler IOC", "CVE-2026-75650", "APSB26-146", "VULN-39341", "malware fc-cache Magento", "backdoor chronyd Magento", "gvfsd-user Magento" o "RCE styles GraphQL Magento", questo è il repository che fa per te.
Questo è esclusivamente un toolkit difensivo. Contiene firme di rilevamento, uno scanner di compromissione e regole di hardening/blocco costruite a partire da report di incidenti pubblicati e di prima mano. Non contiene codice di exploit, un trigger proof-of-concept o qualsiasi cosa che generi il payload dell'attacco. Se stai cercando quello, sei nel repository sbagliato — vai a mettere le patch e a cacciare gli intrusi.
| Vulnerabilità | StyleSmuggler (nome dato da Sansec) — CVE-2026-75650 |
| Fornitore | Adobe (Magento Open Source, Adobe Commerce) |
| CVE | CVE-2026-75650, assegnato il 2026-09-07 |
| Bollettino Adobe | APSB26-146, pubblicato il 2026-09-07 20:20 UTC, Priorità 1 (massima) |
| Richiesto anche | APSB26-138 (aggiornamento regolare di settembre 2026 di Adobe Commerce, patch isolata 249-2026-09-001-CE, rilasciata il 2026-09-08). Adobe afferma che VULN-39341 deve essere applicata in aggiunta a questa, non al suo posto. |
| CVSS | 10.0 (3.1 e 4.0) — Critico. Vettore 3.1 completo: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| CWE | CWE-1336, Neutralizzazione impropria di elementi speciali utilizzati in un motore di template |
| CISA KEV | Aggiunto al catalogo delle vulnerabilità note sfruttate di CISA il 2026-09-08. Scadenza per la remediation del ramo esecutivo civile federale (FCEB): 2026-09-11. La voce di CISA segnala inoltre la necessità di triage forense/IR, con l'uso in campagne ransomware note indicato come "Sconosciuto". Non è solo un problema della community Magento — ora è un RCE attivamente sfruttato e tracciato a livello federale. |
| Patch ufficiale | Rilasciata. Hotfix VULN-39341. La copertura non è universale — vedi la tabella sottostante. |
| Autenticazione richiesta | Nessuna — non autenticato |
| Codice exploit pubblico | Nessun PoC ufficiale da Adobe/Sansec, ma fonti di copertura corroboranti segnalano un repository GitHub pubblico (creato intorno all'8 settembre) che si descrive come riproduzione in laboratorio di ricerca della catena completa — "nessun codice exploit pubblico" è più debole di quanto sembri. Vedi docs/VULNERABILITY.md. |
| Versioni interessate | Riprodotta da Sansec su Magento Open Source 2.4.7, 2.4.8, 2.4.9 puliti; la prima vittima confermata eseguiva la 2.4.6-p15 completamente aggiornata (con le patch precedenti) |
| Sfruttamento | Attivo dal 2026-09-04 22:20 UTC; proseguito durante il rilascio della patch; almeno tre toolkit indipendenti confermati nello sfruttamento dello stesso punto di ingresso al 2026-09-14. Una rete di tracciamento degli exploit riporta oltre 500 IP sorgente distinti dal 9 settembre. La telemetria WAF di terze parti (Imperva) riporta che i bersagli osservati pendono verso retail (~39,5%), lifestyle (~19,5%) e sanità (~17,9%) — istantanee della visibilità dei singoli fornitori, non un'affermazione sull'intera popolazione di negozi vulnerabili. |
| Varianti note di impianto Rust | [kworker/u:8:0] (4 settembre) → fc-cache v2.1.4 (6 settembre) → chronyd v2.1.5 (7 settembre) — stesso operatore, stesso agent ID, versioni incrementali. La build chronyd è stata osservata auto-rilanciarsi senza voce cron e con un processo padre PID-1. |
| Secondo attaccante, non correlato | Web shell PHP in pub/media/catalog/product/cache/, preceduta da una sonda di ricognizione con esfiltrazione DNS — indipendente dall'impianto Rust, confermata il 2026-09-07 |
| Terzo toolkit, distinto | Confermato il 2026-09-14. Un backdoor remote-file-include modificato direttamente nel file core del framework vendor/magento/framework/App/View.php, protetto da un cookie (gl_google_advisor_824808) camuffato da tracciamento ad-tech. Recupera ed esegue un payload remoto su richiesta, poi elimina il file transitorio — tra una richiesta e l'altra non resta nulla su disco tranne la singola riga manomessa in un file vendor. |
| Detonazione senza l'email | Confermato il 2026-09-14. Una seconda catena raggiunge l'esecuzione completa del codice tramite POST /paypal/transparent/response/ (sorgente PHP nella query string) senza mai renderizzare l'email "pagamento fallito" — marcatori MGPROOF::/MGKWSIM::, esecuzione diretta di comandi tramite un parametro kwc. Le mitigazioni basate solo sul trigger dell'email non coprono questo caso. |
| Vettori di consegna noti | Parametro GraphQL styles[]; codice store non valido registrato in var/log/system.log; file caricato tramite le opzioni personalizzate del cliente di Magento; iniezione dell'header Store: del secondo attaccante non correlato; sorgente PHP nella query string di /paypal/transparent/response/ (indipendente dall'email) |
| Impatto | Esecuzione di codice remoto → backdoor persistente basata su Rust, web shell PHP indipendente, un backdoor RFI furtivo a livello di framework, raccolta di sessioni Redis, esposizione di credenziali/segreti tramite app/etc/env.php |
| Prodotto | Coperto da APSB26-146 | Nessuna correzione ufficiale |
|---|---|---|
| Adobe Commerce (incl. B2B, Cloud) | 2.4.4 – 2.4.9 | inferiore a 2.4.4 |
| Adobe Commerce B2B | 1.3.3 – 1.5.3 | inferiore a 1.3.3 |
| Magento Open Source | solo 2.4.6 – 2.4.9 | 2.4.5 e inferiori |
Se utilizzi una versione più vecchia e non supportata, Adobe non ti fornirà una correzione anche se
sei ugualmente sfruttabile. Consulta docs/PATCHING.md per le tue opzioni
— inclusa una nota per gli utenti Mage-OS, che dispongono di una release di emergenza dedicata
(3.5.0) anziché del pacchetto hotfix specifico per Commerce di Adobe.
Queste informazioni cambiano rapidamente. Verifica incrociata con le fonti primarie prima di
agire: l'advisory di Sansec e
il bollettino di Adobe.
Consulta docs/TIMELINE.md per un registro aggiornato e cita le tue fonti quando
aggiorni qualcosa qui.
Il parametro styles di GraphQL di Magento e la sua scansione dei file basata sull'iniezione
di dipendenze vengono sfruttati come primitiva di esecuzione differita basata su file. La catena
originariamente documentata ha due fasi, ma — a partire dall'aggiornamento del 14 settembre di Sansec — non è
l'unica catena confermata, e la detonazione non richiede sempre ciò che la fase due
descriveva originariamente:
