Magento PolyShell漏洞引发严重安全威胁，可导致远程代码执行

荷兰安全公司Sansec发出警告Magento的REST API存在一个严重安全漏洞可能让未经身份验证的攻击者上传任意可执行文件并实现代码执行和账户接管。PolyShell漏洞详细分析该漏洞被Sansec命名为PolyShell因为攻击方式是将恶意代码伪装成图像文件。目前没有证据表明该漏洞已在实际攻击中被利用。这个不受限制的文件上传漏洞影响所有Magento开源版本和Adobe Commerce版本直至2.4.9-alpha2版本。安全公司表示问题源于Magento的REST API接受文件上传作为购物车项目自定义选项的一部分。当产品选项类型为文件时Magento会处理一个嵌入的file_info对象其中包含base64编码的文件数据、MIME类型和文件名。文件会被写入服务器的pub/media/custom_options/quote/目录。根据Web服务器配置的不同该漏洞可能通过PHP上传实现远程代码执行或通过存储型XSS实现账户接管。修复方案和缓解措施Sansec指出Adobe已在2.4.9预发布分支中作为APSB25-94的一部分修复了这个问题但目前的生产版本还没有单独的补丁。虽然Adobe提供了示例Web服务器配置来限制影响但大多数商店使用来自托管提供商的自定义配置。为了缓解潜在风险电子商务网站建议执行以下步骤限制对上传目录pub/media/custom_options/的访问权限验证nginx或Apache规则阻止对该目录的访问扫描商店中的Web shell、后门和其他恶意软件。Sansec强调阻止访问并不能阻止上传如果没有使用专门的Web应用防火墙用户仍然能够上传恶意代码。相关安全事件与此同时网络安全公司Netcraft发现了一个正在进行的攻击活动涉及数千个Magento电子商务网站的入侵和篡改涵盖多个行业和地区。该活动始于2026年2月27日威胁行为者将纯文本文件上传到可公开访问的Web目录。安全研究员Gina Chow表示攻击者在大约15000个主机名和7500个域名上部署了篡改文本文件包括与知名全球品牌、电子商务平台和政府服务相关的基础设施。受影响的基础设施包括华硕、联邦快递、菲亚特、瑞士莲、丰田和雅马哈等多个全球知名品牌。目前尚不清楚这些攻击是否利用了特定的Magento漏洞或配置错误以及是否为单一威胁行为者所为。相关安全专家正在调查这次攻击活动是否与PolyShell漏洞有关联。QAQ1PolyShell漏洞是什么它有多严重APolyShell是Magento REST API中的一个严重安全漏洞攻击者可以通过将恶意代码伪装成图像文件来上传任意可执行文件。该漏洞可能导致远程代码执行和账户接管影响所有Magento开源版本和Adobe Commerce版本直至2.4.9-alpha2。Q2如何防护PolyShell漏洞攻击A建议电子商务网站限制对上传目录pub/media/custom_options/的访问权限验证nginx或Apache规则阻止目录访问并扫描商店中的恶意软件。同时需要注意仅阻止访问无法完全阻止上传最好使用专门的Web应用防火墙。Q3Magento最近还有其他安全威胁吗A是的Netcraft发现了一个大规模攻击活动影响约15000个主机名和7500个域名的Magento网站包括华硕、联邦快递、丰田等知名品牌的基础设施。攻击者上传篡改文件到可公开访问的目录但目前尚不确定是否与PolyShell漏洞相关。