Более 250 магазинов Magento атакованы за одну ночь: хакеры эксплуатируют новую уязвимость Adobe Commerce
Компания Sansec, специализирующаяся на безопасности электронной коммерции, выпустила предупреждение о том, что злоумышленники начали активно эксплуатировать недавно обнаруженную уязвимость в платформах Adobe Commerce и Magento Open Source. За последние 24 часа зафиксировано более 250 попыток атак на различные интернет-магазины.
Детали уязвимости CVE-2025-54236
Уязвимость CVE-2025-54236, также известная как SessionReaper, представляет собой критическую проблему неправильной валидации входных данных, которая может быть использована для захвата учетных записей клиентов через Commerce REST API.
Технические характеристики
| Параметр | Значение |
|---|---|
| CVE ID | CVE-2025-54236 |
| Название | SessionReaper |
| Оценка CVSS | 9.1 (Критическая) |
| Тип уязвимости | Неправильная валидация входных данных / Вложенная десериализация |
| Дата исправления | Сентябрь 2025 |
| Исследователь | Blaklis |
| Векторы атаки | Commerce REST API |
Статистика атак
Общие показатели
| Показатель | Значение |
|---|---|
| Количество атак за 24 часа | 250+ |
| Процент уязвимых магазинов | 62% |
| Время с момента публичного раскрытия | 6 недель |
| Способ эксплуатации | PHP веб-шеллы через /customer/address_file/upload |
Динамика уязвимости
| Период | Событие | Статус |
|---|---|---|
| Сентябрь 2025 | Обнаружение уязвимости | Ответственное раскрытие |
| Сентябрь 2025 | Выпуск патча Adobe | Исправление доступно |
| +6 недель | Начало массовой эксплуатации | 62% магазинов остаются уязвимыми |
| Последние 24 часа | Всплеск активности | 250+ атак зафиксировано |
Источники атак
Голландская компания Sansec идентифицировала следующие IP-адреса, с которых осуществлялись атаки:
| № | IP-адрес | Активность |
|---|---|---|
| 1 | 34.227.25.4 | Загрузка PHP веб-шеллов |
| 2 | 44.212.43.34 | Загрузка PHP веб-шеллов |
| 3 | 54.205.171.35 | Загрузка PHP веб-шеллов |
| 4 | 155.117.84.134 | Зондирование phpinfo |
| 5 | 159.89.12.166 | Зондирование phpinfo |
Механизм атаки
Злоумышленники используют уязвимость следующим образом:
- Точка входа:
/customer/address_file/upload - Метод: PHP бэкдоры загружаются как поддельная сессия
- Цель: Извлечение конфигурационной информации PHP через phpinfo
- Результат: Удаленное выполнение кода (RCE)
Техническая природа уязвимости
Согласно детальному техническому анализу от Searchlight Cyber, CVE-2025-54236 представляет собой уязвимость вложенной десериализации, которая позволяет осуществлять удаленное выполнение кода.
Сравнение с предыдущими уязвимостями
| Параметр | CVE-2024-34102 (CosmicSting) | CVE-2025-54236 (SessionReaper) |
|---|---|---|
| Дата обнаружения | Июль 2024 | Сентябрь 2025 |
| Оценка CVSS | 9.8 | 9.1 |
| Тип уязвимости | Десериализация / XXE | Вложенная десериализация |
| Характер эксплуатации | Массовая | Массовая (начальная стадия) |
| Временной интервал | 13 месяцев | – |
Риски и последствия
Уровни угрозы
| Уровень риска | Процент магазинов | Статус |
|---|---|---|
| Критический | 62% | Не установлены патчи |
| Защищенный | 38% | Патчи установлены |
Потенциальные последствия для бизнеса
| Последствие | Влияние |
|---|---|
| Захват учетных записей клиентов | Критическое |
| Утечка персональных данных | Критическое |
| Утечка платежной информации | Критическое |
| Репутационный ущерб | Высокое |
| Финансовые потери | Высокое |
| Нарушение GDPR/PCI DSS | Высокое |
Рекомендации по защите
Немедленные действия
- Критично: Установить патчи безопасности от Adobe немедленно
- Мониторинг: Проверить логи на наличие подозрительной активности
- Поиск индикаторов компрометации:
- Загрузки файлов через
/customer/address_file/upload - Обращения к phpinfo
- Активность с известных вредоносных IP-адресов
- Загрузки файлов через
- Аудит: Провести проверку целостности файлов
- Блокировка: Добавить известные вредоносные IP в черный список
Долгосрочная стратегия
| Мера | Приоритет | Описание |
|---|---|---|
| Регулярные обновления | Критический | Установка патчей в течение 24-48 часов после выпуска |
| WAF (Web Application Firewall) | Высокий | Защита на уровне приложений |
| Мониторинг безопасности | Высокий | Круглосуточный SOC/SIEM |
| Сегментация сети | Средний | Изоляция критических систем |
| Программа Bug Bounty | Средний | Превентивное обнаружение уязвимостей |
Статистика уязвимостей платформ электронной коммерции
Критические уязвимости в Adobe Commerce/Magento (2024-2025)
| Год | Количество критических CVE | Процент эксплуатированных |
|---|---|---|
| 2024 | 3 | 67% |
| 2025 | 2 | 50% (текущий показатель) |
Заключение
Ситуация с CVE-2025-54236 демонстрирует критическую важность своевременного обновления систем безопасности. С учетом того, что 62% магазинов Magento остаются уязвимыми спустя шесть недель после публичного раскрытия, а публично доступные эксплойты облегчают атаки, риск масштабной волны компрометаций крайне высок.
Администраторам веб-сайтов настоятельно рекомендуется:
- Немедленно применить патчи безопасности
- Провести аудит безопасности своих систем
- Внедрить проактивный мониторинг угроз
- Разработать план реагирования на инциденты
Опыт с предыдущей уязвимостью CosmicSting (CVE-2024-34102) показывает, что задержка с установкой патчей может привести к масштабным компрометациям и значительным финансовым и репутационным потерям.
Профильные услуги SecurityLab: тестирование на проникновение · пентест веб-приложений · Соответствие NIS2 и DORA.