StyleSmuggler: какво се случи с Magento магазините през септември и как пазим вашия магазин

Какво се случи

На 4 септември 2026 г. вечерта злонамерени субекти започнаха да атакуват Magento магазини по целия свят през дотогава непозната дупка в самата платформа. На следващия ден Sansec Security (компания, която е фокусирана върху сигурността) я описа публично и ѝ даде име: StyleSmuggler. Два дни по-късно, на 7 септември, Adobe (компанията зад Magento) издаде спешна промяна/кръпка в кода (bug fix) за да спрат внедряването на нови файлове.

Пробивът получи най-високата възможна оценка за опасност: 10 от 10. В опасност са всички версии на Magento от 2.4.4 до 2.4.9, тоест практически всеки работещ днес магазин. Няма значение дали магазинът е голям или малък, познат или не. Атаките са автоматизирани и обхождат интернет наред.

Важната подробност: в продължение на три дни магазините бяха атакувани, а официална поправка нямаше. Всеки, който е разчитал единствено на редовните обновления от Adobe, е бил незащитен точно в тези дни.

Какво представлява StyleSmuggler, казано просто

Представете си физически магазин. Всеки може да влезе, да разгледа стоката, да попита продавача, да направи поръчка или да остави обратна връзка. Това е нормално и желано: така работи търговията.

StyleSmuggler прилича на бланка за обратна връзка, оставена на касата от случаен посетител. На пръв поглед е обикновена бележка и продавачът я прибира, без да се замисля. По-късно, при рутинна работа в склада или в счетоводството, се оказва, че „бланката“ е инструкция, която персоналът изпълнява, сякаш идва от собственика: дай ключа от касата, изпрати данните на всички клиенти на посочен получател, остави задната врата отключена. Никой не е разбивал витрина и никой не е откраднал ключ. Нападателят просто е влязъл като клиент и е оставил нещо, което самият магазин по-късно превръща в заповед.

Точно това се случва и в онлайн магазина. Нападателят не се нуждае от парола, от достъп до администрацията или от каквото и да било съдействие. Достатъчно е магазинът да е достъпен в интернет.

Конкретно в този случай, нападателите се възползват от възможността на магазините да се прикачват файлове към поръчките (напр. собствен дизайн на визитна картичка или принт) и/или адресите на потребителите и посредством тях изпращат скрит злонамерен код.

Резултатът е, че непознат недоброжелател може да изпълнява собствен код на вашия сървър. От този момент нататък той разполага с всичко, с което разполага и магазинът.

Какви са рисковете за собственика

Това не е теоретична опасност. Ето какво реално най-често правят нападателите в магазините, до които успяват да стигнат:

• Кражба на данни от банкови карти. В страницата за плащане се вмъква невидим „подслушвач“, който копира данните на картата в момента, в който клиентът ги въвежда. Клиентът получава стоката си и нищо не подсказва проблем, докато не започнат неразрешени транзакции. Когато следата стигне до вашия магазин, банката и платежният оператор могат да прекратят договора и да наложат санкции.
• Изтичане на лични данни на клиентите. Имена, адреси, телефони, имейли, история на поръчките, а при фирмени клиенти и данни за фактуриране. Веднъж изтекли, тези данни се продават и използват за измами срещу самите ви клиенти, често от ваше име.
• Скрити „задни врати“. Нападателят оставя програми, маскирани като системни процеси, за да може да се върне по всяко време. Дори пробивът да бъде запушен, вратата остава.
• Пълен контрол над администрацията. Промяна на цени, пренасочване на плащания, създаване на скрити администраторски профили, изтегляне на паролите към куриери, плащания и счетоводство.
• Изнудване. Базата данни може да бъде криптирана или изтрита срещу откуп. Друг често срещан сценарий е заплаха за публикуване на клиентските данни, ако не бъде платено.
• Магазинът ви като оръжие срещу други. Превзетият сървър се използва за разпращане на спам, за фишинг страници и за атаки срещу други сайтове. Адресът му попада в черни списъци, имейлите до собствените ви клиенти спират да пристигат, а хостинг доставчикът може да спре услугата без предупреждение.
• Загуба на репутация и приходи. Магазин, който краде карти, бива маркиран от браузърите и Google като опасен. Докато трае почистването, магазинът често трябва да бъде спрян, а всеки ден без продажби е загуба. Възстановяването на доверието отнема месеци.
• Разходи по разследване и възстановяване. Установяване какво точно е взето, почистване, правни консултации, уведомяване на клиенти и институции, понякога пълно преизграждане на магазина. Сметката обикновено е многократно по-голяма от цената на превенцията.

Има и една по-скрита опасност - кръпката от Adobe затваря дупката, но не изчиства магазин, който вече е бил ударен. Ако нападателят е влязъл преди поправката, той продължава да има достъп. Затова „обновихме и сме спокойни“ не е достатъчно.

Един интересен подход, който се наблюдава много често при този тип атаки и е в полза на собствениците - обикновено първите няколко дни атакуващите само инжектират зловреден код на сървъра, но не го изпълняват. Казано по друг начин, само трупат активи, които да използват в бъдеще. Защо това е от полза - защото ако се спре изпълнението на тези файлове, дори озовали се на сървърите, рисковете се минимизират.

Какво направихме за магазините, за които се грижим

Грижата за сигурността не започна от този случай, но той показа добре как работи процесът. Ето какво се случи стъпка по стъпка:

• 5 септември, същия ден, в който пробивът стана публичен. Още преди Adobe да е издала поправка, проверихме всеки магазин за следи от атаката и блокирахме на входа на сървърите заявките, през които тя минава. Нападателят удря в затворена врата, преди изобщо да стигне до магазина.
• 6 септември. Приложихме на всички магазини наша временна защита, която обезврежда конкретния пробив на StyleSmuggler. Едновременно с това добавихме към системата ни за наблюдение проверки за всички публикувани от Sansec следи от заразяване, така че сървърите се сканират автоматично и денонощно.
• 7 септември. Adobe издаде официалната поправка. Sansec междувременно публикува разширен списък с признаци за компрометиране; сверихме го ред по ред с нашите проверки и допълнихме липсващото.
• 8 до 12 септември. Вградихме официалната поправка на Adobe в самата процедура, с която пускаме нови версии на всеки магазин. Това е важна подробност: поправка, приложена „на ръка“ върху работещ сървър, може тихо да се загуби при следващо обновление. При нас тя е част от всяка бъдеща версия и ако по някаква причина не може да бъде приложена, обновлението просто не излиза. Там, където беше възможно, магазините бяха вдигнати до версия на Magento, която вече носи поправката в себе си.

След това. Разполагаме автоматизирано следене на бюлетините на Adobe, Sansec и американската агенция за киберсигурност CISA. Всяка нова критична уязвимост за Magento вдига аларма при нас в рамките на час, а системата за наблюдение проверява дали всеки магазин реално е защитен, а не само дали „би трябвало“ да е.

Какво препоръчваме на собствениците

Дори при напълно защитен магазин има няколко неща, които зависят от вас:

1. Сменете паролите за администрацията и изисквайте това от всички, които имат достъп. Adobe изрично препоръчва това след StyleSmuggler.
2. Включете двустепенна защита (2FA) за администраторските профили, ако още не е включена. Готови сме да помогнем.
3. Прегледайте списъка с администратори. Всеки профил, който не разпознавате или който вече не се използва, трябва да бъде премахнат.
4. Пазете пароли и ключове на едно място и ги сменяйте при инцидент. Това включва достъпите до куриерски услуги, разплащателни системи и счетоводни връзки.
5. Не отлагайте обновленията. Този случай показа, че прозорецът между откриването на дупка и масовата ѝ експлоатация се измерва в часове, не в седмици.

В заключение

StyleSmuggler няма да е последният случай на атака. Само през последната година Magento имаше два пробива с максимална оценка за опасност. Разликата между магазин, който бива ударен, и магазин, който не бива, не е в късмета, а в това дали някой го следи всеки ден, реагира в първите часове и се уверява, че защитата остава на място и след следващото обновление.

Това е част от работата, която вършим за магазините, за които се грижим и е включена в абонаментната им поддръжка. Ако Вашият магазин все още няма кой да го следи по този начин, пишете ни. Ще Ви кажем в какво състояние е и какво е нужно, за да спите спокойно.