Vol. 2 (abr. 2026) | Pp. 318–320 | ISSN 3086-6103
Zero-Day do Magento é explorado para instalar backdoor em servidores Linux
Uma nova campanha de exploração ativa está atingindo lojas virtuais baseadas em Magento Open Source e Adobe Commerce. Batizada de StyleSmuggler, a vulnerabilidade permite que um atacante não autenticado execute código remotamente no servidor da aplicação e instale uma backdoor persistente em ambientes Linux.
O problema é especialmente grave porque a exploração foi observada em instalações que já estavam atualizadas com os patches de segurança disponíveis. Segundo a Sansec, os primeiros ataques foram identificados em 4 de setembro, enquanto a análise pública foi divulgada no dia seguinte. A empresa confirmou a reprodução da cadeia de exploração nas versões 2.4.7, 2.4.8 e 2.4.9 do Magento Open Source.
Até o momento da publicação deste artigo, a Adobe ainda não havia disponibilizado uma correção oficial, atribuído um identificador CVE ou informado uma data definitiva para o patch. A empresa confirmou apenas que estava trabalhando em uma correção. A próxima janela de atualizações de segurança estava prevista para 8 de setembro, mas ainda não havia confirmação de que ela incluiria o StyleSmuggler.
Como funciona a vulnerabilidade?
O StyleSmuggler é uma vulnerabilidade de execução remota de código (RCE), que explora o processamento de propriedades styles no sistema de templates do Magento.
A cadeia observada é composta por duas etapas principais:
-
O atacante injeta código PHP malicioso em uma requisição não autenticada.
-
O Magento grava esse conteúdo em um arquivo interno e, posteriormente, interpreta o arquivo como código PHP durante o processamento de uma mensagem de falha de pagamento.
Em uma das cadeias descritas pelos pesquisadores, o atacante manipula o processamento de relatórios de falha e, em seguida, força o Magento a renderizar o template “Payment Transaction Failed Reminder”. A execução acontece no servidor enquanto o template é processado, portanto, não é necessário que o e-mail seja entregue ou aberto pelo destinatário.
Essa característica dificulta a investigação baseada apenas em caixas de entrada ou registros do servidor de e-mail. O evento importante pode ocorrer durante a geração ou tentativa de envio da mensagem, mesmo quando a entrega falha.
O Backdoor
Após a execução do código PHP, os operadores observados implantam um pequeno binário escrito em Rust. O programa é executado em segundo plano e tenta se passar por processos legítimos do Linux.
Nas primeiras amostras, o processo utilizava o nome [kworker/u:8:0], em versões posteriores, os operadores passaram a utilizar nomes mais comuns em servidores Linux, como fc-cache chronyd ,o binário também pode ser copiado para caminhos que parecem relacionados ao cache de fontes ou a componentes de sincronização de horário:
~/.cache/fontconfig/fc-cache
~/.local/share/.gvfsd/gvfsd-user
/tmp/.fc-<identificador>/fc-cache
/tmp/.chrony-<identificador>/chronyd
A persistência é obtida por meio de tarefas agendadas no cron.
Entretanto, a ausência de uma entrada suspeita em crontab -l não é suficiente para declarar o host limpo. A investigação também deve verificar diretamente os arquivos de spool do cron, mecanismos de inicialização e processos que possam ter sido relançados pelo PID 1.
A própria campanha demonstrou evolução operacional. Uma variante mais recente deixou de usar o nome fc-cache e passou a utilizar chronyd, o nome normalmente associado ao daemon de sincronização de tempo em distribuições Linux. Essa mudança pode reduzir a eficácia de regras de detecção que procuram apenas por nomes óbvios, como kworker ou fc-cache.
Conclusão
O StyleSmuggler representa um cenário de alto risco para operadores de Magento e Adobe Commerce: uma vulnerabilidade não autenticada, explorada ativamente, capaz de transformar uma falha aparentemente ligada ao processamento de templates em acesso persistente ao servidor Linux.
O aspecto mais relevante para analistas de cibersegurança é que a campanha não termina com a execução inicial do PHP. Os operadores implantam backdoors que tentam se esconder como processos legítimos, utilizam mecanismos comuns de persistência e disfarçam o comando e controle.
Referências:
Categorias: Adobe, Alerta, Ataques, CVE, Falhas, Linux, Linux Kernel, PHP, RCE, Remote Attack, Vulnerabilidade, Zero Day.
