Лента угроз

КритическаяCVSS9.3#CVE-2026-45247 #PHP object injection #Magento #десериализация

CVE-2026-45247 — неаутентифицированный RCE в расширении Magento через PHP object injection

CVE-2026-45247 — PHP object injection в Mirasvit Full Page Cache Warmer для Magento 2 до 1.11.12: RCE без аутентификации, CVSS 9.3. Обновите до 1.11.12+.

Опубликовано 2026-06-08 Обновлено 2026-10-23 Последняя проверка 2026-07-08 4 мин чтения

На этой странице

Бюллетень об активно эксплуатируемой уязвимости (внесена в CISA KEV). Что происходит, затронутый диапазон и исправления — объяснено защитно, без шагов атаки.

Бюллетень

CVE: CVE-2026-45247
Серьёзность: Критическая (CVSS 9.3 / v4.0)
Класс: PHP object injection (десериализация недоверенных данных, CWE-502)
Воздействие: Неаутентифицированное удалённое выполнение кода (RCE)
Затронуто: Mirasvit Full Page Cache Warmer for Magento 2 — до 1.11.12
Основное исправление: Обновить до 1.11.12 или новее

9.3

CVSS / худший класс

без аутентификации

Условие достижения

RCE

Достигнутое воздействие

исправляется обновлением

Основное исправление

Вывод

если вы используете Mirasvit Full Page Cache Warmer, обновитесь до 1.11.12 или новее прямо сейчас

Уязвимость позволяет выполнить код без аутентификации, и единственное надёжное исправление — обновление.

Если вы используете уязвимое расширение, обновитесь до 1.11.12+ прямо сейчас.
Причина — PHP object injection: десериализация недоверенного ввода как есть, при которой реконструируется объект, переданный злоумышленником (CWE-502). Результат — неаутентифицированный RCE (что такое RCE).
Пока патч не установлен, добавьте эшелонированную оборону — ограничьте endpoint, WAF, мониторинг, — но это временные меры; корневое исправление — обновление.

Почему пренебрежение опасно

Неаутентифицированный RCE — главная цель для автоматического массового сканирования (поэтому он внесён в KEV). «Мы слишком малы, чтобы нас атаковали» не работает — сканеры механически прочёсывают весь интернет.

Что это за уязвимость (PHP object injection)

В PHP есть serialize для превращения данных в строку и unserialize для их восстановления. Десериализация недоверенного ввода как есть позволяет злоумышленнику передать «объект, вызывающий нежелательные побочные эффекты при восстановлении». Во время восстановления (магические методы и т.п.) непреднамеренное поведение выстраивается в цепочку и может достичь выполнения кода. Это и есть PHP object injection (CWE-502).

✗ Восстановление недоверенного ввода

внешний ввод → unserialize в объект → цепочка восстановления → выполнение кода

✓ Трактовать как данные

принимать внешний ввод только как данные (JSON и т.п.) → никогда не реконструировать объекты

Десериализация недоверенного ввода реконструирует объект, предоставленный злоумышленником, и выстраивается в цепочку к непреднамеренному поведению. Если же трактовать как данные, оно остаётся безопасным.

Затронутый компонент — расширение для прогрева кэша для Magento 2. Злоумышленник достигает его без аутентификации, и CVSS оценивает это в 9.3 — среди самых высоких оценок.

Затронутый диапазон

Параметр	Деталь
Расширение	Mirasvit Full Page Cache Warmer for Magento 2
Затронутые версии	до 1.11.12
Исправленная версия	1.11.12 и новее
Предусловие	Аутентификация не требуется
Достигнутое воздействие	Удалённое выполнение кода (RCE)

Исправления

Обновить до 1.11.12+ (высший приоритет)

Обновите расширение до последней версии. Это единственное, что реально закрывает RCE. После этого подтвердите реально работающую версию.

Временная эшелонированная оборона до патча

Если не можете пропатчиться немедленно, ограничьте доступ к endpoint (список разрешённых IP, basic auth, отключение пути) или используйте WAF, чтобы временно снизить риск. Это лишь закрывает промежуток до установки патча.

Проверьте на компрометацию

Предполагайте, что до патча до него могли добраться: проверьте на незнакомые файлы, запланированные задачи, исходящий трафик и изменения административных аккаунтов. Трактуйте RCE как «окружение и БД могли утечь».

Инвентаризация расширений + машинный мониторинг CVE

Инвентаризируйте установленные расширения/зависимости и следите за CVE машинами (Dependabot / osv-scanner). Структурно предотвратите «опубликованный, известный CVE остался непропатченным, потому что человек его упустил».

Взгляд этого сайта: проектируйте так, чтобы недоверенные данные никогда не десериализовались

Такие уязвимости появляются снова и снова, потому что «удобно» восстанавливать внешний ввод напрямую. Позиция этого сайта проста: никогда не создавайте места, где unserialize-ятся недоверенные данные. Принимайте внешний ввод только как данные (например, json_decode), никогда не для реконструкции объектов. Тогда такая уязвимость не может возникнуть по самой архитектуре.

Читать дальше

Глоссарий: Что такое RCE · Что такое CVE · Что такое CVSS
Лента: Лента угроз

Источники и область проверки

Первоисточники ниже подтверждают рассмотренные настройки, область влияния или меры; ссылки проверены 23 октября 2026 года. Учитывайте версии и конфигурации. Приоритеты и выводы — рекомендации сайта, а не повторная проверка всей статьи или гарантия безопасности.

FAQ

QЧто позволяет CVE-2026-45247?

Неаутентифицированный злоумышленник может выполнить произвольный код (RCE) на сайте Magento с уязвимым расширением — прямой путь к дефейсу, краже данных и проникновению в другие системы. Это одна из самых опасных разновидностей уязвимостей.

QКакое исправление самое надёжное?

Обновить расширение «Mirasvit Full Page Cache Warmer for Magento 2» до 1.11.12 или новее. Только обновление действительно устраняет уязвимость; изменения конфигурации и WAF — временная эшелонированная оборона до установки патча.

QЧто такое PHP object injection?

Десериализация недоверенного ввода как есть (через unserialize и т.п.), так что объект, предоставленный злоумышленником, реконструируется, выстраиваясь в цепочку к непреднамеренному поведению (CWE-502). Настоящая защита — никогда не десериализовать недоверенные данные.