Типичный программист | IT, программирование, разработка, ИИ
IT и технологии · 9 сентября 2026 г.
Первую жертву новой дыры в Magento взломали на самой свежей сборке от Adobe
Первую жертву новой дыры в Magento взломали на самой свежей сборке от Adobe Sansec выпустила предупреждение досрочно: магазины ломают прямо сейчас. Атаки идут с 4 сентября, дыру назвали StyleSmuggler, она даёт выполнение кода на сервере без логина и ставит постоянный бэкдор. Цепочку воспроизвели на чистых Magento Open Source 2.4.7, 2.4.8 и 2.4.9. Первая жертва работала на 2.4.6-p15 с июльским и августовским патчами: выше для этой линейки Adobe ничего не выпускала. На 6 сентября у Adobe нет ни CVE, ни фикса, ни обходного пути. Совет Sansec на время: отключить GraphQL. Хостер Disrex, чинивший два взломанных магазина, уточняет, что классическим витринам и Hyvä он не нужен, а headless и PWA без него не работают. Плановый релиз Adobe сегодня, 8 сентября, будет ли там фикс, неизвестно. Я бы на месте владельца headless-витрины уже читал логи: детали в разборе The Hacker News. #безопасность