jithinkrishnanrs/stylesmuggler-ioc-toolkitStyleSmuggler (CVE-2026-75650) — набор инструментов IOC для Magento Open Source и Adobe Commerce. Обнаружение скомпрометированных магазинов, Rust-имплантов, PHP-веб-шеллов, артефактов персистентности и известных индикаторов компрометации.
Magento zero-day · Adobe Commerce zero-day · CVE-2026-75650 · APSB26-146 · VULN-39341 · неаутентифицированный RCE · вредоносное ПО Magento · удаление бэкдора Magento · уязвимость Magento 2.4.9 · Rust-имплант · инъекция через GraphQL styles · PHP веб-шелл
Индикаторы компрометации от сообщества, сканер компрометации и рекомендации по смягчению/установке исправлений для StyleSmuggler (CVE-2026-75650) — неаутентифицированной RCE в Magento Open Source / Adobe Commerce, раскрытой Sansec 5 сентября 2026 года, с подтверждённой эксплуатацией в реальных условиях начиная с 4 сентября 2026 года. Adobe опубликовала официальное исправление, APSB26-146, 7 сентября 2026 года. Если вы искали "StyleSmuggler IOC", "CVE-2026-75650", "APSB26-146", "VULN-39341", "Magento fc-cache malware", "Magento chronyd backdoor", "gvfsd-user Magento" или "Magento GraphQL styles RCE", это тот самый репозиторий.
Это исключительно защитный инструментарий. Он содержит сигнатуры обнаружения, сканер компрометации и правила усиления защиты/блокировки, построенные на основе опубликованных первичных отчётов об инцидентах. Он не содержит эксплойт-кода, proof-of-concept триггера или чего-либо, что генерирует полезную нагрузку атаки. Если вы ищете именно это, вы попали не в тот репозиторий — идите устанавливать исправления и вести охоту вместо этого.
| Уязвимость | StyleSmuggler (название от Sansec) — CVE-2026-75650 |
| Вендор | Adobe (Magento Open Source, Adobe Commerce) |
| CVE | CVE-2026-75650, присвоен 2026-09-07 |
| Бюллетень Adobe | APSB26-146, опубликован 2026-09-07 20:20 UTC, Priority 1 (наивысший) |
| Также требуется | APSB26-138 (регулярное обновление Adobe Commerce за сентябрь 2026, изолированный патч 249-2026-09-001-CE, выпущен 2026-09-08). Adobe указывает, что VULN-39341 должен применяться в дополнение к нему, а не вместо него. |
| CVSS | 10.0 (3.1 и 4.0) — критический. Полный вектор 3.1: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| CWE | CWE-1336, Improper Neutralization of Special Elements Used in a Template Engine |
| CISA KEV | Добавлена в каталог Known Exploited Vulnerabilities CISA 2026-09-08. Срок устранения для федеральных гражданских исполнительных органов (FCEB): 2026-09-11. Запись CISA также отмечает необходимость криминалистического анализа/реагирования на инцидент, а использование в известных кампаниях программ-вымогателей указано как «Unknown». Это уже не просто проблема сообщества Magento — теперь это отслеживаемая на федеральном уровне активно эксплуатируемая RCE. |
| Официальный патч | Выпущен. Хотфикс VULN-39341. Покрытие не универсально — см. таблицу ниже. |
| Требуется аутентификация | Нет — без аутентификации |
| Публичный эксплойт-код | Официального PoC от Adobe/Sansec нет, но подтверждающие материалы упоминают публичный репозиторий на GitHub (создан ~8 сентября), описывающий себя как воспроизведение полной цепочки исследовательской лабораторией — «публичного эксплойт-кода нет» звучит слабее, чем есть на самом деле. См. docs/VULNERABILITY.md. |
| Затронутые версии | Воспроизведено Sansec на чистых Magento Open Source 2.4.7, 2.4.8, 2.4.9; первая подтверждённая жертва работала на 2.4.6-p15 с полностью установленными патчами (на предыдущих патчах) |
| Эксплуатация | Активна с 2026-09-04 22:20 UTC; продолжалась и после выпуска патча; по состоянию на 2026-09-14 подтверждено как минимум три независимых инструментария, эксплуатирующих одну и ту же точку входа. Одна сеть отслеживания эксплойтов сообщает о 500+ различных IP-адресах источников с 9 сентября. Телеметрия сторонних WAF (Imperva) сообщает, что наблюдаемые цели смещены в сторону розничной торговли (~39,5%), lifestyle (~19,5%) и здравоохранения (~17,9%) — это снимки видимости отдельных вендоров, а не утверждение о полной совокупности уязвимых магазинов. |
| Известные варианты Rust-импланта | [kworker/u:8:0] (4 сентября) → fc-cache v2.1.4 (6 сентября) → chronyd v2.1.5 (7 сентября) — тот же оператор, тот же ID агента, версии инкрементируются. Зафиксировано, что сборка chronyd самостоятельно перезапускается без записи в cron и с родительским процессом PID-1. |
| Второй, несвязанный атакующий | PHP веб-шелл в pub/media/catalog/product/cache/, которому предшествовал разведочный зонд с DNS-эксфильтрацией — независим от Rust-импланта, подтверждён 2026-09-07 |
| Третий, отдельный инструментарий | Подтверждён 2026-09-14. Бэкдор с удалённым включением файлов (RFI), вписанный напрямую в основной файл фреймворка vendor/magento/framework/App/View.php, активируемый cookie (gl_google_advisor_824808), замаскированным под ad-tech-трекинг. По запросу загружает и выполняет удалённую полезную нагрузку, затем удаляет временный файл — между запросами на диске не остаётся ничего, кроме одной изменённой строки в файле вендора. |
| Детонация без письма | Подтверждена 2026-09-14. Вторая цепочка достигает полного выполнения кода через POST /paypal/transparent/response/ (исходный код PHP в строке запроса), вообще не отрисовывая письмо «failed payment» — маркеры MGPROOF::/MGKWSIM::, прямое выполнение команд через параметр kwc. Меры защиты, построенные только вокруг триггера через письмо, это не покрывают. |
| Известные векторы доставки | Параметр GraphQL styles[]; недопустимый код магазина, записываемый в var/log/system.log; файл, загруженный через пользовательские опции клиента Magento; инъекция заголовка Store: от несвязанного второго атакующего; исходный код PHP в строке запроса /paypal/transparent/response/ (независимо от письма) |
| Воздействие | Удалённое выполнение кода → постоянный бэкдор на Rust, независимый PHP веб-шелл, скрытый RFI-бэкдор на уровне фреймворка, сбор сессий из Redis, раскрытие учётных данных/секретов через app/etc/env.php |
| Продукт | Покрывается APSB26-146 | Официального исправления нет |
|---|---|---|
| Adobe Commerce (вкл. B2B, Cloud) | 2.4.4 – 2.4.9 | ниже 2.4.4 |
| Adobe Commerce B2B | 1.3.3 – 1.5.3 | ниже 1.3.3 |
| Magento Open Source | только 2.4.6 – 2.4.9 | 2.4.5 и ниже |
Если вы используете более старую, неподдерживаемую версию, Adobe не выпускает для вас исправление, хотя
вы так же уязвимы для эксплуатации. См. docs/PATCHING.md для ваших вариантов
— включая примечание для пользователей Mage-OS, у которых есть специальный экстренный выпуск
(3.5.0), а не специфичный для Commerce пакет горячего исправления от Adobe.
Эта информация быстро меняется. Перепроверьте по первоисточникам, прежде чем
действовать: рекомендация Sansec и
бюллетень Adobe.
См. docs/TIMELINE.md для журнала событий и указывайте источники, когда
вы что-либо обновляете здесь.
Собственный GraphQL-параметр styles в Magento и его сканирование файлов на основе
внедрения зависимостей используются как файловый примитив отложенного выполнения. Изначально
задокументированная цепочка состоит из двух этапов, но — по состоянию на обновление Sansec от 14 сентября — она не
является единственной подтверждённой цепочкой, и детонация не всегда требует того, что изначально описывал второй этап:
