Magento与Adobe Commerce爆未修补零日「StyleSmuggler」：9月4日起在野利用，植入Rust后门

荷兰电商安全企业Sansec于2026年9月5日发布公告，披露一个名为StyleSmuggler的未修补零日漏洞，影响Magento Open Source与Adobe Commerce全部当前版本。攻击者可未经认证在电商服务器上远程执行代码并安装持久化后门。据观察，在野利用自9月4日即已开始，Sansec称之所以提前公开，是因为「商店正在被入侵」。

攻击分两阶段：第一阶段通过精心构造的GraphQL请求，利用styles属性将PHP代码注入Magento自动生成的文件（如var/report/错误报告或var/log/system.log）；第二阶段触发「支付交易失败提醒」邮件的模板渲染，邮件生成过程中依赖注入扫描器会读取并执行第一阶段注入的文件。邮件无需发送或打开，执行完全在服务端完成。

补丁级别并非变量。Sansec在纯净的Magento Open Source 2.4.7、2.4.8、2.4.9上均完整复现了未认证攻击链；首个观测到的受害者运行的是2.4.6-p15，且已应用Adobe 2026年7月与8月全部安全更新。换言之，保持最新补丁并未提供保护。

植入载荷隐蔽性极强：一个约1.9MB的静态链接Rust程序（同时编译x86-64与arm64），写入网站用户家目录的~/.local/share/.gvfsd/gvfsd-user（位于Web根目录之上一层），进程名伪装为Linux内核线程[kworker/u:8:0]，9月6日的新变种改用fc-cache；并通过直接写入/var/spool/cron/crontabs/建立每5分钟执行的持久化，移除后约1秒内自行重建。

命令与控制伪装成时间同步：每60秒解析ntp.timesync.to并向123端口发送48字节UDP包，外观类似NTP响应，实际承载MessagePack编码的代理ID、主机名、用户名、系统版本等信息。目前尚无证据表明后门已被进一步武器化。Adobe下一次安全发布定于9月8日，是否覆盖该漏洞尚未可知；Adobe企业支持9月7日确认正在开发补丁但无时间表。泰国CERT于9月7日发布通报，建议排查[kworker/u:8:0]、fc-cache等可疑进程与cron项，未使用GraphQL的商店应临时禁用该端点。