Unpatched Magento and Adobe Commerce Zero-Day Exploited to Backdoor Online Stores
Oleh Zai · Let's Make It Easy
Dipublikasikan 2026-09-06
Pada 5 September 2026, Sansec melaporkan StyleSmuggler, kerentanan zero-day pada Magento Open Source dan Adobe Commerce yang sedang dieksploitasi.
Pada 5 September 2026, Sansec melaporkan StyleSmuggler, kerentanan zero-day pada Magento Open Source dan Adobe Commerce yang sedang dieksploitasi. Laporan The Hacker News menambahkan konteks waktu dan status respons Adobe. Ini bukan pengumuman patch; ini laporan insiden yang masih berkembang, jadi admin toko perlu membedakan fakta yang sudah direproduksi dari bagian yang belum dikonfirmasi.
Apa yang sudah diketahui
Sansec menyebut serangan dimulai pada 4 September dan memberi nama StyleSmuggler. Peneliti mereka mereproduksi rantai serangan tanpa autentikasi pada Magento Open Source 2.4.7, 2.4.8, dan 2.4.9. Pada korban pertama yang dijelaskan, sistem menjalankan 2.4.6-p15 dengan patch keamanan Juli dan Agustus 2026. Dampaknya adalah eksekusi kode jarak jauh dan pemasangan backdoor persisten pada server toko.
Cara serangannya bekerja
Ringkasan Sansec menjelaskan dua tahap. Penyerang menyuntikkan kode PHP ke sistem template Magento melalui properti styles, lalu memancing Magento mengeksekusi kode itu ketika merender email kegagalan pembayaran. Detail ini penting karena email yang terlihat normal tidak otomatis berarti proses di belakangnya aman. Sansec juga mencatat serangan dapat berhasil ketika pengiriman email gagal.
Bagian yang masih terbatas
Adobe belum menerbitkan advisory, CVE, patch, atau workaround pada saat laporan The Hacker News diperbarui. Sansec belum menyatakan jumlah toko yang sudah dikompromikan dan belum mempublikasikan reproduksi untuk Adobe Commerce atau Adobe Commerce on Cloud. Jadi, jangan mengubah laporan ini menjadi klaim bahwa semua deployment terdampak dengan cara yang sama.
Apa yang bisa dilakukan admin
Sansec menyarankan pemeriksaan kompromi dan, bagi toko yang tidak memakai mitigasi mereka, menonaktifkan GraphQL sementara. Itu bukan pilihan tanpa konsekuensi: storefront headless dan progressive web app bisa bergantung pada GraphQL. Tim harus menilai arsitektur, mengambil snapshot yang aman, memperketat akses, dan menunggu advisory resmi sebelum menganggap insiden selesai.
Untuk tim operasi, simpan salinan konfigurasi sebelum mengubah endpoint, lalu catat waktu setiap perubahan. Pemeriksaan sebaiknya mencakup web root, cron, proses yang berjalan, log akses, dan akun yang punya hak tulis ke template. Jika toko memakai CDN atau WAF, jangan menganggap lapisan itu menutup bug di aplikasi origin. Kumpulkan indikator sebelum membersihkan file agar analisis forensik tidak kehilangan jejak. Setelah ada advisory Adobe, cocokkan versi dan patch dengan deployment yang benar-benar aktif, termasuk node lama yang jarang menerima traffic tetapi masih punya akses database.
Langkah praktis
Prioritasnya sederhana: inventaris versi, cek indikator kompromi dari advisory Sansec, simpan bukti, lalu siapkan rollback. Jangan menunggu angka CVE kalau server sudah menunjukkan tanda eksekusi yang tidak wajar.