Il tuo negozio potrebbe già lavorare per qualcun altro
Quando hai guardato l'ultima volta cosa gira davvero sul server del tuo e-commerce? Dal 4 settembre c'è un buon motivo per farlo. La società olandese Sansec ha individuato un attacco che colpisce Magento e Adobe Commerce sfruttando una falla finora sconosciuta, battezzata StyleSmuggler. Primo sfruttamento confermato alle 22:20 UTC del 4 settembre, prima rilevazione venti minuti dopo.
La falla non ha ancora un codice CVE e, mentre scrivo, Adobe non ha pubblicato una patch ufficiale. Le versioni verificate come vulnerabili sono Magento Open Source 2.4.7, 2.4.8 e 2.4.9, con compromissioni reali già viste su 2.4.6-p15 e 2.4.7-p2. Anche Adobe Commerce, in versione Cloud compresa, è considerato esposto.
Cosa vuol dire "RCE non autenticato"
Due termini tecnici, spiegati in pratica. "RCE non autenticato" significa che un estraneo, senza login e senza account, può far eseguire codice a sua scelta sul tuo server solo mandando richieste dall'esterno. "Backdoor persistente" significa che dopo il primo accesso resta una porta aperta, che sopravvive al riavvio e si riattiva da sola.
Nel dettaglio l'attacco abusa del sistema dei template di Magento, in particolare della proprietà styles, per scrivere codice PHP dentro file che Magento stesso genera, come quelli in var/report/ o nel system.log. Poi fa scattare l'email di promemoria "pagamento fallito" per eseguirlo. Da lì parte un dropper che scarica un binario Rust da circa 1,9 MB, registra un cron ogni cinque minuti e chiama casa verso i suoi server di comando.
Cosa puoi fare subito
In assenza di patch, le mitigazioni che stanno circolando sono ragionevoli. Aggiungere proc_open e le altre funzioni che avviano processi alla direttiva disable_functions di PHP. Montare /tmp, /var/tmp e /dev/shm con l'opzione noexec. Disattivare l'endpoint GraphQL se non ti serve per un frontend headless. Diversi fornitori hanno già pubblicato regole per WAF, nginx e Apache che bloccano i parametri usati nell'exploit.
Poi controlla se sei già stato colpito. Segnali noti: un processo di nome [kworker/u:8:0] in esecuzione con un utente non root, file dentro ~/.local/share/.gvfsd/, un cron */5 sospetto, connessioni verso domini come windwsecurity.run. Gli indicatori possono cambiare, quindi usali come punto di partenza, non come una checklist definitiva.
La patch, quando arriva, non chiude il caso
Se il tuo negozio è stato raggiungibile da Internet tra il 4 settembre e il momento in cui applichi la correzione, installare la patch non basta. Una patch chiude la finestra da cui sono entrati, non rimuove quello che hanno lasciato dentro. Se trovi anche solo uno degli indicatori, la strada seria è isolare il server, ripartire da un backup precedente al 4 settembre e ricostruire, non "ripulire al volo".
💬 Il mio commento
C'è un dato in questa vicenda che secondo me dice quasi tutto: tra il primo sfruttamento e la prima regola di mitigazione pubblica sono passate meno di nove ore, ma per la patch ufficiale di Adobe si è aspettato giorni. Gli attaccanti hanno lavorato più in fretta di chi doveva difendere. Non è una novità, però qui il divario si è visto bene.
Sul campo incontro spesso e-commerce Magento fermi a una o due versioni indietro, quasi sempre per lo stesso motivo: "se aggiorno si rompe il tema" o un modulo su misura. È comprensibile, ma è esattamente quella distanza a trasformarsi in superficie d'attacco quando esce uno zero-day del genere. E quando mi chiamano dopo un incidente su un negozio online, la backdoor spesso era lì da settimane: log che nessuno leggeva, alert mai configurati, monitoraggio fermo all'uptime della homepage. Per chi ha Magento o Adobe Commerce raggiungibile da Internet il consiglio è uno: finché non hai verificato, trattalo come potenzialmente già compromesso, senza aspettare la patch per muoverti. Dire con certezza se sei stato colpito non è semplice, lo ammetto, e su questo un paio d'occhi esterni aiutano. Se gestisci un e-commerce su Magento o Adobe Commerce e vuoi capire se StyleSmuggler ti ha già raggiunto, o chiudere la falla prima che accada, posso affiancarti nell'analisi dei log e nella messa in sicurezza del server.