Čo sa stalo
Adobe Commerce a jeho bezplatná verzia Magento Open Source patria medzi najrozšírenejšie platformy pre e-shopy. Obsahujú chybu CVE-2026-48356, ktorú bezpečnostná firma Sansec pomenovala PolyShell. Útočník cez ňu môže nahrať na server nebezpečný súbor, napríklad skript v jazyku PHP, a potom ho spustiť.
Adobe chybu opravil 14. júla 2026 bezpečnostnou aktualizáciou APSB26-73. V ten istý deň ju zverejnila aj americká databáza zraniteľností NVD. Útočníci ju však zneužívali už mesiace predtým. Sansec na ňu upozornil v marci 2026 a 30. marca opísal hromadnú vlnu útokov, pri ktorej útočníci za jedinú hodinu napadli 471 obchodov.
Americký úrad CISA zaradil chybu 27. októbra 2026 do katalógu aktívne zneužívaných zraniteľností. Ako zneužívanú ju vedie aj európska databáza ENISA EUVD. Podľa Sansecu zasiahla kampaň, ktorá okrem iného využíva PolyShell, od júla 2025 už 953 obchodov, väčšinou na Magente. Útočníci každých pár mesiacov menia domény, z ktorých sa škodlivý kód načítava. Od októbra 2026 používajú deepveindrilling.com.
Prečo je to nebezpečné
Ide o chybu typu „neobmedzené nahrávanie súborov“. Predstavte si podateľňu, ktorá má prijímať len obrázky, no nekontroluje, čo jej kto prinesie. Útočník tak namiesto obrázka podstrčí program a server ho neskôr spustí. Sansec našiel na napadnutých obchodoch webshelly, teda skripty na vzdialené ovládanie servera, maskované ako obrázky PNG.
Útok prebieha cez internet a útočník nepotrebuje prihlásenie do administrácie. Hodnotenie NVD síce uvádza, že útok vyžaduje určitú interakciu používateľa, Sansec však v praxi zdokumentoval automatizované hromadné útoky. Keď útočník ovládne server, môže zapisovať do databázy, vytvárať administrátorské účty a vkladať do stránok obchodu škodlivý JavaScript, ktorý beží v prehliadačoch zákazníkov.
Podľa Sansecu sa zákazníkom napadnutých obchodov načítaval škodlivý obsah aj z domény leqdger.click, ktorá napodobňuje značku kryptopeňaženiek Ledger. Ohrozené sú teda nielen dáta obchodu, ale aj jeho zákazníci a dobré meno firmy.
Čo znamenajú čísla pri článku:
- CVSS 9,3 z 10 (hodnotenie spoločnosti Adobe, ktorá skóre pridelila): kritická závažnosť, najvyššia kategória.
- CISA KEV: katalóg chýb, o ktorých americký úrad CISA vie, že sa reálne zneužívajú. Americké federálne úrady musia túto chybu odstrániť do 10. novembra 2026.
- EPSS približne 59 %: odhad pravdepodobnosti zneužitia v najbližších 30 dňoch. Vyššie skóre má menej ako 1 % všetkých hodnotených zraniteľností.
Koho sa to týka
Týka sa to prevádzkovateľov e-shopov na Adobe Commerce a Magento Open Source, ktorí nemajú nainštalovanú bezpečnostnú aktualizáciu APSB26-73. Zraniteľné sú aj najnovšie vydania, napríklad 2.4.9 alebo 2.4.7-p10. Podľa NVD sa chyba týka aj rozšírení Adobe Commerce B2B a Adobe Commerce Events. Sansec napríklad našiel webshelly na obchode s verziou 2.4.7-p1.
Typicky ide o e-shopy na vlastnom serveri, VPS alebo webhostingu, často spravované externou agentúrou. Ak váš obchod spravuje dodávateľ, opýtajte sa ho priamo, či a kedy nainštaloval APSB26-73.
Obchodov na iných platformách sa chyba netýka. Pozor však, samotná aktualizácia nestačí, ak bol obchod napadnutý už skôr. Sansec zachytil infekciu aj na obchode s verziou 2.4.7-p10 a so všetkými bezpečnostnými záplatami. Útočník tam už mal vlastný administrátorský účet a zadné vrátka.
Ako zistiť, či ste zasiahnutí
Verziu nájdete v pätičke administrácie Magenta. Na serveri ju v adresári obchodu zistíte príkazom, ktorý nič nemení:
bin/magento --versionČi obchod neobsahuje vložený škodlivý skript, overíte dotazmi do databázy, ktoré iba čítajú. Ak používate prefix tabuliek, doplňte ho. Stĺpec update_time ukáže, kedy sa obsah naposledy zmenil.
SELECT block_id, identifier, update_time FROM cms_block
WHERE content LIKE '%fpCode%' OR content LIKE '%se_referrer%'
OR content LIKE '%localStorage.getItem%';
SELECT page_id, identifier, update_time FROM cms_page
WHERE content LIKE '%fpCode%' OR content LIKE '%se_referrer%'
OR content LIKE '%localStorage.getItem%';Podozrivé nahrané súbory a známe zadné vrátka vyhľadáte v adresári obchodu týmito príkazmi:
find pub/media/custom_options/ pub/media/customer_address/ -type f ! -name '.htaccess'
find . -name 'accesson.php' -type fAko to opraviť
Opravu prináša bezpečnostná aktualizácia Adobe APSB26-73 pre podporované vydania. Postupujte v tomto poradí:
- Zálohujte súbory aj databázu. Ak sa dá, urobte aj snímku celého servera.
- Skontrolujte, či obchod už nie je napadnutý (pozrite časti o kontrole a o napadnutí). Aktualizácia zadné vrátka ani vložené skripty neodstráni.
- Aktualizáciu vyskúšajte na testovacej kópii obchodu.
- Nainštalujte APSB26-73 na ostrý obchod podľa bulletinu Adobe a vyprázdnite cache príkazom
bin/magento cache:flush. Ak obchod beží na vydaní bez podpory, čo najskôr naplánujte prechod na podporovanú verziu. - Doinštalujte aj APSB25-88, ktorá opravuje inú zneužívanú chybu SessionReaper (CVE-2025-54236). Podľa Sansecu útočníci zneužívajú obe chyby, aby dostali na server svoje súbory.
Do nasadenia aktualizácie môže pomôcť webový firewall. Sansec uvádza, že jeho Sansec Shield útoky PolyShell aj SessionReaper blokuje. Aktualizáciu to však nenahrádza.
Čo ak už ste mohli byť napadnutí
Ak obchod načítava niektorú zo známych domén útočníkov, útočník môže zapisovať do vašej databázy. Samotné zmazanie skriptu tento prístup neodstráni. Hľadajte najmä:
- skripty v tabuľkách
cms_blockacms_pages odkazmi na deepveindrilling.com, additionalver.com, lanhd6549tdhse.top, neswnsssn.click, manulfie.click, hdfdsi84j3h.top alebo c85grt98sd.com, často zakódované pomocou base64 - súbory v
pub/media/custom_options/apub/media/customer_address/, napríklad webshelly maskované ako obrázky PNG - súbory s názvom
accesson.php - neznáme účty v tabuľke
admin_usera neznáme procesy na serveri (Sansec našiel aj zadné vrátka GSocket)
SELECT user_id, username, email, created, logdate FROM admin_user ORDER BY created DESC;Po vyčistení zmeňte heslá k databáze, administrátorským účtom a API integráciám. Ak nájdete čo i len jednu z týchto stôp, prizvite odborníka na bezpečnosť e-shopov. Útočníci sa na tie isté obchody opakovane vracajú. Ak mohlo dôjsť k úniku osobných údajov zákazníkov, preverte, či ho nemusíte do 72 hodín ohlásiť Úradu na ochranu osobných údajov.