Атаки PolyShell поражают 56% всех уязвимых магазинов Magento.

[zender]

В настоящее время ведутся атаки с использованием уязвимости «PolyShell» во второй версии Magento Open Source и Adobe Commerce, нацеленные на более чем половину всех уязвимых магазинов.


По данным компании Sansec, специализирующейся на безопасности электронной коммерции, хакеры начали массово использовать критическую уязвимость PolyShell на прошлой неделе, всего через два дня после ее публичного раскрытия .


«Массовое использование уязвимости PolyShell началось 19 марта, и на данный момент Sansec обнаружила атаки PolyShell на 56,7% всех уязвимых магазинов», — Sansec сообщает .


Ранее исследователи сообщали, что проблема заключается в REST API Magento, который принимает загрузку файлов в качестве части пользовательских опций для товара в корзине, что позволяет файлам, написанным на нескольких языках, осуществлять удаленное выполнение кода или захват учетной записи посредством хранимой межсайтовой скриптовой атаки (XSS), если это позволяет конфигурация веб-сервера.


Компания Adobe выпустила исправление в версии 2.4.9-beta1 10 марта 2026 года, но оно еще не попало в стабильную ветку. Ранее BleepingComputer обращался в Adobe с вопросом о том, когда будет доступно обновление безопасности, устраняющее проблему с PolyShell, для производственных версий, но ответа не получил.

Тем временем компания Sansec опубликовала список IP-адресов , предназначенных для сканирования интернет-магазинов, уязвимых к PolyShell.

Скиммер WebRTC​

Компания Sansec сообщает, что в некоторых атаках, предположительно использующих уязвимость PolyShell, злоумышленник внедряет новый скиммер для платежных карт, который использует Web Real-Time Communication (WebRTC) для кражи данных.




WebRTC использует UDP с шифрованием DTLS, а не HTTP, поэтому он с большей вероятностью сможет обойти средства контроля безопасности даже на сайтах со строгими правилами политики безопасности контента (CSP), такими как «connect-src».

Скиммер — это легковесный JavaScript-загрузчик, который подключается к жестко закодированному серверу управления и контроля (C2) через WebRTC, обходя обычную сигнализацию путем внедрения поддельного обмена SDP-сообщениями.


Программа получает полезную нагрузку второго этапа по зашифрованному каналу, а затем выполняет её, обходя CSP, в основном за счёт повторного использования существующего nonce скрипта или прибегая к unsafe-eval или прямой инъекции скрипта. Выполнение задерживается с помощью 'requestIdleCallback' для снижения вероятности обнаружения.


Sansec отметила, что этот скиммер был обнаружен на сайте электронной коммерции автопроизводителя, стоимость которого превышает 100 миллиардов долларов, и который не отреагировал на их уведомления.


Исследователи предлагают набор индикаторов компрометации, которые могут помочь защитникам предотвратить подобные атаки.