Для кого эта статья: компании, которые ведут интернет-магазины на Adobe Commerce (ранее Magento Commerce) или Magento Open Source, агентства, которые их создают и сопровождают, и хостинг-провайдеры. Статья основана на публичной информации Adobe, CISA и NVD и на отчётах компании по безопасности электронной коммерции. Шаги атаки и код эксплойтов здесь не рассматриваются.
続報待ち：この記事は公式発表に合わせて更新します
По состоянию на 28 октября 2026 года (по японскому времени)まだ分かっていないこと
- Подтверждение эксплуатации со стороны Adobe (в бюллетене по-прежнему сказано, что ей не известно)
- Предупреждения японских государственных ведомств (нет ни от JPCERT/CC, ни от IPA)
- Пострадавшие магазины в Японии (не раскрыты)
CISA внесло уязвимость в KEV 27 октября. Исправление Adobe вышло 14 июля. Подробности эксплуатации взяты из отчётов компании по безопасности электронной коммерции, которые Adobe не подтвердила. Мы обновим статью, когда появятся новые сообщения.
Что сделать сегодня
Проверьте версию и применено ли исправление
Выполните bin/magento --version на сервере магазина, чтобы узнать версию. Июльское исправление распространяется как изолированный патч, который применяется поверх последнего выпуска безопасности каждой линейки (например, 2.4.7-p10). Чтобы проверить, применён ли он, в средах, размещённых Adobe, используйте Quality Patches Tool (vendor/bin/magento-patches -n status), а в остальных средах — Commerce Version Tool, входящий в исправление (доступен после применения CE-патча) (примечания к выпуску Adobe). Если магазином управляет агентство или компания по сопровождению, спросите их об обоих пунктах.
Примените исправление
Порядок Adobe: сначала перейти на последний выпуск безопасности (версию -p) вашей линейки (2.4.9 остаётся как есть), затем применить июльское исправление. Патчи не кумулятивные, поэтому применяйте их по порядку. Если вы используете модуль Adobe Commerce Events, обновите его до 1.21.0 или новее. Для сред, размещённых Adobe (Adobe Commerce on cloud infrastructure), Adobe говорит, что проблему исправляет последний выпуск Magento Cloud Patches, и предупреждает, что применение изолированного патча поверх него может привести к сбою установки. Следуйте указаниям Adobe.
Проверьте папки загрузки
Компания по безопасности электронной коммерции сообщает, что веб-шеллы размещались в pub/media/custom_options/ (особенно в папке quote внутри неё), и рекомендует проверить также pub/media/customer_address/. Ищите файлы, замаскированные под изображения, и исполняемые файлы, такие как .php, .phtml или .phar. Обычно в этих папках хранятся, например, файлы, которые клиенты прикрепляют к заказам.
Проверьте CMS-блоки, CMS-страницы и учётные записи администраторов
В базе данных проверьте таблицы cms_block и cms_page на теги <script>, которые вы не добавляли, и на недавно изменённые записи (update_time). В отчёте той же компании перечислены строки для поиска. Проверьте admin_user на учётные записи, которых вы не знаете, а сервер — на незнакомые запущенные процессы.
Если найдены следы, очистите систему и смените учётные данные
После удаления вредоносных файлов и скриптов смените пароли и токены учётных записей администраторов, базы данных и интеграций API. Если удалить только скрипт, у злоумышленника останется путь обратно (веб-шелл или учётная запись администратора). Если была затронута страница оформления заказа, свяжитесь с платёжными системами и платёжным провайдером.
Временные меры, если исправление нельзя применить сразу (они не останавливают атаку)
Та же компания рекомендует настроить веб-сервер так, чтобы запретить веб-доступ к pub/media/custom_options/ и не допускать выполнения там PHP. Это не даёт запускать загруженные файлы извне, но не мешает загружать файлы. Компания говорит, что для блокировки самих запросов на загрузку нужно правило WAF (системы, проверяющей трафик веб-приложений). Обе меры — временные до применения исправления.
Затронутые и исправленные версии
| Продукт | Затронуты | Исправление (обозначение Adobe) |
|---|---|---|
| Adobe Commerce | 2.4.9, 2.4.8-p5 и ранее, 2.4.7-p10 и ранее, 2.4.6-p15 и ранее, 2.4.5-p17 и ранее, 2.4.4-p18 и ранее | 2026-jul для каждой из 2.4.9, 2.4.8, 2.4.7, 2.4.6, 2.4.5, 2.4.4 |
| Adobe Commerce B2B | 1.5.3, 1.5.2-p5 и ранее, 1.4.2-p10 и ранее, 1.3.4-p17 и ранее, 1.3.3-p18 и ранее | 2026-jul для каждой из 1.5.3, 1.5.2, 1.4.2, 1.3.4, 1.3.3 |
| Magento Open Source | 2.4.9, 2.4.8-p5 и ранее, 2.4.7-p10 и ранее, 2.4.6-p15 и ранее | 2026-jul для каждой из 2.4.9, 2.4.8, 2.4.7, 2.4.6 |
| Adobe Commerce Events | С 1.6.0 по 1.20.0 | 1.21.0 |
«2026-jul» — это не новый номер версии. Он означает последний выпуск безопасности каждой линейки с применённым июльским изолированным патчем. В примечаниях к выпуску Adobe файлы патчей разделены по целевой версии, например «2-4-7-p10-jul-2026.zip». Пользователи Magento Open Source могут напрямую скачать патчи только для 2.4.6 и новее.
В таблице Adobe версия 2.4.9 тоже указана как затронутая. Компания по безопасности электронной коммерции пишет, что 2.4.9 уже включала исправление этой уязвимости, но бюллетень охватывает 14 уязвимостей, исправленных в один день. Мы рекомендуем следовать таблице Adobe и применить июльское исправление и на 2.4.9.
Уязвимость, позволяющая загружать файлы (путь проникновения)
Исправлена июльским исправлением (2026-jul)
Размещённые веб-шеллы
Исправлением не удаляются. Проверьте папки загрузки
Скрипты, внедрённые на страницы
Исправлением не удаляются. Проверьте cms_block и cms_page
Добавленные администраторы и, возможно, раскрытые учётные данные
Исправлением не удаляются. Проверьте admin_user и смените учётные данные
Что было раскрыто
- CVE
- CVE-2026-48356 (бюллетень безопасности Adobe APSB26-73)
- Тип
- Неограниченная загрузка файла опасного типа (CWE-434). Adobe указывает последствия как повышение привилегий, а серьёзность как критическую, и говорит, что аутентификация не требуется
- Серьёзность
- CVSS v3.1 9.6 в таблице бюллетеня Adobe (AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L). 9.3 в значении, зарегистрированном Adobe в записи CVE, и в оценке NVD (идентично, кроме A:N)
- Последствия (описание CVE)
- Выполнение произвольного кода в контексте текущего пользователя с возможным захватом учётной записи или сеанса жертвы. Указано, что для эксплуатации жертва должна открыть специально созданный URL или взаимодействовать со скомпрометированной страницей
- Исправление
- Опубликовано 14 июля 2026 года (обновлено 11 августа). Тот же бюллетень исправляет 14 уязвимостей, и только эта внесена в KEV. Рейтинг приоритета Adobe — 2, средний из трёх уровней
- Эксплуатация (Adobe)
- Adobe говорит, что ей не известно об эксплуатации (по опубликованному на 28 октября)
- Эксплуатация (CISA)
- Внесено в KEV 27 октября 2026 года. Срок для федеральных гражданских ведомств США (FCEB) — 10 ноября. Использование в кампаниях программ-вымогателей — «Unknown». Оценка SSVC от CISA в NVD определяет эксплуатацию как «active»
Два значения CVSS различаются только тем, указано ли влияние на доступность (A) как «низкое» или «отсутствует». Оба — в диапазоне 9 по 10-балльной шкале, то есть критические, и приоритет не меняется. В описании CVE сказано, что требуется взаимодействие пользователя (UI:R), но в мартовском разборе компании, описанном ниже, говорится, что файлы можно загрузить без входа в систему. Внесению в KEV мы придаём больше веса, чем деталям оценки (мнение этого сайта).
Другая уязвимость, которую CISA внесло в KEV в тот же день, — уязвимость в формате сжатия Brotli (CVE-2026-111497). Организации в Японии не связаны сроком США, но CISA призывает все организации в первую очередь устранять уязвимости из KEV.
Сообщения об атаках (исследование компании по безопасности электронной коммерции)
Далее — сведения компании по безопасности, специализирующейся на расследовании взломанных интернет-магазинов. Adobe их не подтвердила.
17 марта 2026
Компания раскрыла уязвимость загрузки файлов в Magento и Adobe Commerce, назвав её «PolyShell». Она сообщила, что на тот момент исправление было только в предварительной версии (предварительный выпуск 2.4.9)30 марта 2026
Та же компания сообщила о масштабной атаке с использованием PolyShell, в ходе которой за один час было взломано 471 магазин (номер CVE в этом отчёте не указан)14 июля 2026
Adobe опубликовала APSB26-73 с исправлениями для каждой поддерживаемой линейки выпусков24 октября 2026
Компания сообщила, что веб-шеллы, размещённые через PolyShell (CVE-2026-48356) и другие уязвимости, такие как SessionReaper, использовались для внедрения JavaScript на страницы магазинов в кампании, затронувшей с июля 2025 года в общей сложности 953 магазина, в основном на Magento27 октября 2026
CISA внесло уязвимость в KEV
Согласно отчёту от 24 октября, после размещения веб-шеллов злоумышленники внедряли JavaScript в таблицу базы данных cms_block (блоки, отображаемые на страницах магазина). Скрипт загружает код с внешних сайтов, которые для каждого посетителя возвращают перенаправление или дополнительный код. 953 магазина — в основном магазины на Magento, включая магазины, взломанные через другую уязвимость (SessionReaper, CVE-2025-54236).
В отчёте сказано, что внедрённый код попал и в магазины с исправлениями. В качестве примера приводится магазин на 2.4.7-p10 без пропущенных основных патчей. Также сказано, что удаление скрипта не лишает злоумышленника доступа. Из отчёта неясно, получен ли этот доступ через ранее размещённые веб-шеллы или другим путём.
Если то, что эта компания называет PolyShell, совпадает с CVE-2026-48356, то мартовская массовая атака произошла до того, как Adobe в июле выпустила исправления для поддерживаемых линеек (вывод этого сайта; Adobe эксплуатацию не подтвердила). Если ваш магазин работал до июля, безопаснее проверить следы начиная с марта.
Ситуация в Японии
По состоянию на 28 октября JPCERT/CC и IPA не выпускали предупреждений об этой уязвимости. В пределах того, что мы проверили, ни один магазин в Японии не сообщил о том, что пострадал от неё.
Если внедрённый скрипт разместить на странице оформления заказа, данные карт, которые вводят покупатели, могут быть раскрыты. Стандарт, которому следуют магазины, работающие с данными карт, — PCI DSS, а то, как вредоносные скрипты оказываются на страницах, разбирается в статье о XSS (межсайтовом скриптинге).
Мнение этого сайта
Отличительная черта уязвимостей загрузки файлов — ущерб продолжается после исправления. Размещённые файлы и внедрённый в страницы код остаются, если они были добавлены до исправления. В этом случае уязвимость попала в KEV через три с половиной месяца после выпуска исправления Adobe. Магазинам, применившим июльское исправление, тоже рано успокаиваться: им нужно проверить, не было ли вторжения до даты применения.
Для Magento места проверки в основном определены: папки загрузки, cms_block и cms_page, а также admin_user. Если вы просите проверку у компании по сопровождению, назовите эти три места и попросите результаты — это помогает ничего не упустить. Общие меры защиты от уязвимостей загрузки файлов описаны в статье Уязвимости загрузки файлов.
Что пока неизвестно
| Пункт | Статус |
|---|---|
| Подтверждение эксплуатации со стороны Adobe | В бюллетене (обновлён 11 августа) по-прежнему сказано, что ей не известно |
| Масштаб эксплуатации | CISA подробностей не публиковало. Числа взяты только из отчётов компании по безопасности электронной коммерции |
| Является ли PolyShell этой CVE | Основано на отчёте этой компании. Adobe это название не упоминает |
| Статус 2.4.9 | В таблице Adobe — затронута. Компания говорит, что 2.4.9 включала исправление (следуйте таблице Adobe) |
| Пострадавшие в Японии | Не раскрыты |
Источники
Все проверены 28 октября 2026 года.
- Adobe, «Security update available for Adobe Commerce | APSB26-73» (опубликовано 14 июля 2026, обновлено 11 августа) — adobe.com
- Adobe, «Security update available for Adobe Commerce - APSB26-73» (примечания к выпуску, KA-37421) — experienceleague.adobe.com
- CISA, «CISA Adds Two Known Exploited Vulnerabilities to Catalog» (27 октября 2026) — cisa.gov
- CISA, «Known Exploited Vulnerabilities Catalog» (данные версии от 27 октября 2026) — cisa.gov
- NVD, «CVE-2026-48356» — nvd.nist.gov
- Отчёт компании по безопасности электронной коммерции (24 октября 2026, включая способы поиска следов вторжения) — sansec.io
- Разбор PolyShell от той же компании (опубликован 17 марта 2026, включая временные меры) — sansec.io / её отчёт о мартовской массовой атаке (30 марта 2026) — sansec.io
- JPCERT/CC, список предупреждений за 2026 год (на японском языке) — jpcert.or.jp
Журнал изменений
2026-10-28: первая версия на основе публичной информации Adobe, CISA и NVD и отчётов компании по безопасности электронной коммерции.
Читайте дальше
- Защита от уязвимостей этого типа: Уязвимости загрузки файлов: как предотвратить веб-шеллы и RCE
- Как вредоносные скрипты оказываются на страницах: Что такое XSS (межсайтовый скриптинг)
- Определение приоритетов: Что исправлять в первую очередь: CVSS, EPSS и KEV
- Когда объявлена уязвимость: Порядок действий при устранении CVE
- Внесено в KEV в тот же день: Уязвимость Brotli CVE-2026-111497
- Термины: Что такое бэкдор / Что такое PCI DSS / Что такое CVSS