Magento ve Adobe Commerce'teki StyleSmuggler açığıyla mağazalara PSK Agent RAT yerleştiriliyor
Eylül başından beri istismar edilen kimlik doğrulamasız RCE açığı CVE-2026-75650 üzerinden e-ticaret sunucularına Go tabanlı PSK Agent RAT kuruluyor. Araştırmacılar patch'in tek başına yetmediğini, sunucuların arka kapı için ayrıca taranması gerektiğini vurguluyor.
CVE-2026-75650
Magento ve Adobe Commerce'i etkileyen, Sansec'in StyleSmuggler adını verdiği CVE-2026-75650 açığı yeni bir zararlı yazılım ailesini taşımak için kullanılıyor. CVSS 10.0 puanlı açık, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya izin veriyor ve kaynaklara göre 4 Eylül 2026'dan beri istismar ediliyor. Adobe açığı APSB26-146 bülteni ve VULN-39341 hotfix'iyle kapattı.
Imperva'nın 9–13 Eylül arasında gözlediği saldırılarda, mağaza sunucularına bir shell script dropper, bir PHP webshell ve Go ile yazılmış, yoğun şekilde gizlenmiş PSK Agent adlı RAT bırakıldı. Kaynaklara göre RAT uzaktan komut çalıştırma, SOCKS5 proxy, DNS üzerinden kurban takibi ve kalıcılık yeteneklerine sahip. Imperva etkinliği orta güvenle Çince konuşan bir gruba bağlıyor, ancak belirli bir grup adı vermiyor. Sansec ise patch uygulanmış güncel bir sürümde de kurban gördüğünü bildiriyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Adobe Commerce / Magento Open Source | Üretici bildirimindeki liste (APSB26-146) | VULN-39341 hotfix'i; sürüm kapsamı için Üretici bildirimindeki liste |
Kaynaklar etkilenen aralık konusunda ayrışıyor: Sansec 2.4.4–2.4.9 aralığını işaret ederken, bazı iş ortakları eski dallar için ayrı patch dosyaları yayımlandığını belirtiyor. Kendi sürümünüz için Adobe'nin APSB26-146 bültenine bakın.
Beni etkiliyor mu?
Magento kurulum dizininde yüklü sürümü composer.lock dosyasından salt okunur olarak okuyabilirsiniz:
grep -A1 "magento/product-community-edition" composer.lockKaynaklara göre bilinen implant'lar kworker, fc-cache veya chronyd gibi sistem süreci adlarıyla gizleniyor. Sunucunun süreç listesinde bu adları taşıyan ama web sunucusu kullanıcısıyla çalışan süreç varsa olay müdahalesi başlatın.
Ne yapılmalı?
- APSB26-146 bültenindeki hotfix'i sürümünüze uygun şekilde uygulayın; Adobe'nin önerdiği gibi ardından encryption key'leri yenileyin.
- Patch'i yeterli saymayın: sunucuyu webshell, beklenmeyen PHP dosyaları, cron girdileri ve şüpheli Go binary'leri için tarayın.
- Sunucudan dışarıya giden olağandışı bağlantıları ve SOCKS proxy trafiğini log'larda izleyin.
- Yönetici, API ve veritabanı parolalarını değiştirin; değişiklikleri change management sürecinizle kayda geçirin.
