Co se stalo
Adobe Commerce a jeho bezplatná verze Magento Open Source patří k nejrozšířenějším platformám pro e-shopy. Obsahují chybu CVE-2026-48356, kterou bezpečnostní firma Sansec pojmenovala PolyShell. Útočník přes ni může nahrát na server nebezpečný soubor, například skript v jazyce PHP, a pak ho spustit.
Adobe chybu opravil 14. července 2026 bezpečnostní aktualizací APSB26-73. Týž den ji zveřejnila i americká databáze zranitelností NVD. Útočníci ji ale zneužívali už měsíce předtím. Sansec na ni upozornil v březnu 2026 a 30. března popsal hromadnou vlnu útoků, při které útočníci během jediné hodiny napadli 471 obchodů.
Americký úřad CISA zařadil chybu 27. října 2026 do katalogu aktivně zneužívaných zranitelností. Jako zneužívanou ji vede i evropská databáze ENISA EUVD. Podle Sansecu zasáhla kampaň, která mimo jiné využívá PolyShell, od července 2025 už 953 obchodů, převážně na Magentu. Útočníci každých pár měsíců mění domény, ze kterých se škodlivý kód načítá. Od října 2026 používají deepveindrilling.com.
Proč je to nebezpečné
Jde o chybu typu „neomezené nahrávání souborů“. Představte si podatelnu, která má přijímat jen obrázky, ale nekontroluje, co jí kdo přinese. Útočník tak místo obrázku podstrčí program a server ho později spustí. Sansec na napadených obchodech našel webshelly, tedy skripty pro vzdálené ovládání serveru, maskované jako obrázky PNG.
Útok probíhá přes internet a útočník nepotřebuje přihlášení do administrace. Hodnocení NVD sice uvádí, že útok vyžaduje určitou interakci uživatele, Sansec ale v praxi zdokumentoval automatizované hromadné útoky. Jakmile útočník server ovládne, může zapisovat do databáze, zakládat administrátorské účty a vkládat do stránek obchodu škodlivý JavaScript, který běží v prohlížečích zákazníků.
Podle Sansecu se zákazníkům napadených obchodů načítal škodlivý obsah i z domény leqdger.click, která napodobuje značku kryptopeněženek Ledger. Ohrožena tak nejsou jen data obchodu, ale i jeho zákazníci a dobré jméno firmy.
Co znamenají čísla u článku:
- CVSS 9,3 z 10 (hodnocení společnosti Adobe, která skóre přidělila): kritická závažnost, nejvyšší kategorie.
- CISA KEV: katalog chyb, o kterých americký úřad CISA ví, že jsou skutečně zneužívány. Americké federální úřady musí tuto chybu odstranit do 10. listopadu 2026.
- EPSS přibližně 59 %: odhad pravděpodobnosti zneužití v příštích 30 dnech. Vyšší skóre má méně než 1 % všech hodnocených zranitelností.
Koho se to týká
Týká se to provozovatelů e-shopů na Adobe Commerce a Magento Open Source, kteří nemají nainstalovanou bezpečnostní aktualizaci APSB26-73. Zranitelná jsou i nejnovější vydání, například 2.4.9 nebo 2.4.7-p10. Podle NVD se chyba týká i rozšíření Adobe Commerce B2B a Adobe Commerce Events. Sansec například našel webshelly na obchodě s verzí 2.4.7-p1.
Typicky jde o e-shopy na vlastním serveru, VPS nebo webhostingu, často spravované externí agenturou. Pokud váš obchod spravuje dodavatel, zeptejte se ho přímo, zda a kdy nainstaloval APSB26-73.
Obchodů na jiných platformách se chyba netýká. Pozor ale, samotná aktualizace nestačí, pokud byl obchod napaden už dříve. Sansec zachytil infekci i na obchodě s verzí 2.4.7-p10 a se všemi bezpečnostními záplatami. Útočník tam už měl vlastní administrátorský účet a zadní vrátka.
Jak zjistit, zda jste zasaženi
Verzi najdete v patičce administrace Magenta. Na serveru ji v adresáři obchodu zjistíte příkazem, který nic nemění:
bin/magento --versionZda obchod neobsahuje vložený škodlivý skript, ověříte dotazy do databáze, které pouze čtou. Pokud používáte prefix tabulek, doplňte ho. Sloupec update_time ukáže, kdy se obsah naposledy změnil.
SELECT block_id, identifier, update_time FROM cms_block
WHERE content LIKE '%fpCode%' OR content LIKE '%se_referrer%'
OR content LIKE '%localStorage.getItem%';
SELECT page_id, identifier, update_time FROM cms_page
WHERE content LIKE '%fpCode%' OR content LIKE '%se_referrer%'
OR content LIKE '%localStorage.getItem%';Podezřelé nahrané soubory a známá zadní vrátka najdete v adresáři obchodu těmito příkazy:
find pub/media/custom_options/ pub/media/customer_address/ -type f ! -name '.htaccess'
find . -name 'accesson.php' -type fJak to opravit
Opravu přináší bezpečnostní aktualizace Adobe APSB26-73 pro podporovaná vydání. Postupujte v tomto pořadí:
- Zazálohujte soubory i databázi. Pokud to jde, pořiďte i snímek celého serveru.
- Zkontrolujte, zda obchod už není napadený (viz části o kontrole a o napadení). Aktualizace zadní vrátka ani vložené skripty neodstraní.
- Aktualizaci vyzkoušejte na testovací kopii obchodu.
- Nainstalujte APSB26-73 na ostrý obchod podle bulletinu Adobe a vyprázdněte cache příkazem
bin/magento cache:flush. Pokud obchod běží na nepodporovaném vydání, co nejdříve naplánujte přechod na podporovanou verzi. - Doinstalujte i APSB25-88, která opravuje jinou zneužívanou chybu SessionReaper (CVE-2025-54236). Podle Sansecu útočníci zneužívají obě chyby, aby dostali na server své soubory.
Do nasazení aktualizace může pomoci webový firewall. Sansec uvádí, že jeho Sansec Shield útoky PolyShell i SessionReaper blokuje. Aktualizaci to ale nenahrazuje.
Co když už jste mohli být napadeni
Pokud obchod načítá některou ze známých domén útočníků, útočník může zapisovat do vaší databáze. Samotné smazání skriptu tento přístup neodstraní. Hledejte zejména:
- skripty v tabulkách
cms_blockacms_pages odkazy na deepveindrilling.com, additionalver.com, lanhd6549tdhse.top, neswnsssn.click, manulfie.click, hdfdsi84j3h.top nebo c85grt98sd.com, často zakódované pomocí base64 - soubory v
pub/media/custom_options/apub/media/customer_address/, například webshelly maskované jako obrázky PNG - soubory s názvem
accesson.php - neznámé účty v tabulce
admin_usera neznámé procesy na serveru (Sansec našel i zadní vrátka GSocket)
SELECT user_id, username, email, created, logdate FROM admin_user ORDER BY created DESC;Po vyčištění změňte hesla k databázi, administrátorským účtům a API integracím. Pokud najdete byť jen jednu z těchto stop, přizvěte odborníka na bezpečnost e-shopů. Útočníci se na tytéž obchody opakovaně vracejí. Pokud mohlo dojít k úniku osobních údajů zákazníků, prověřte, zda ho nemusíte do 72 hodin ohlásit Úřadu pro ochranu osobních údajů.