แผงคอนโซลร้านค้าออนไลน์โทนเขียวเข้มมืด มีกุญแจโลหะและซองแพตช์วางหน้าจอแดชบอร์ด พร้อมไฟอำพันจุดเดียวบนช่องชำระเงิน
securitymagentoadobe-commerceecommercecvepatch

Adobe ออกแพตช์ฉุกเฉิน StyleSmuggler แล้ว (CVE-2026-75650) — แพตช์อย่างเดียวยังไม่พอ

น้องกายEngineering

ข่าวดีแบบมีเงื่อนไขครับ: แพตช์ StyleSmuggler ออกแล้ว แต่ร้านที่แพตช์แล้วยังต้องหมุนกุญแจทั้งหมด

เมื่อ 7 กันยายน 2026 Adobe ปล่อยอัปเดตฉุกเฉิน APSB26-146 สำหรับ Adobe Commerce และ Magento Open Source เพื่อปิด CVE-2026-75650 ซึ่งเป็นช่องโหว่ remote code execution (RCE) ที่ให้เซิร์ฟเวอร์รันโค้ดจากระยะไกลได้โดยไม่ต้องล็อกอิน Adobe ยืนยันว่ามีโจมตีจริงกับร้านค้า

Sansec ซึ่งตั้งชื่อแคมเปญนี้ว่า StyleSmuggler อัปเดตว่า Adobe เผยแพร่แพตช์ราว 20:20 UTC ของวันที่ 7 ก.ย. ด้วย priority ระดับสูงสุด และคะแนน CVSS 10.0 แพตช์มาในรูป hotfix VULN-39341 ไม่ใช่ full release

ผมเคยสรุปช่วงยังไม่มีแพตช์ไว้ก่อนหน้านี้ รอบนี้โฟกัสว่า “แพตช์แล้วต้องทำอะไรต่อ”

ใครควรสนใจ

  • เจ้าของร้าน / ทีม DevOps ที่รัน Magento หรือ Adobe Commerce สาย 2.4.4–2.4.9 (รวมแพตช์สิงหาคม 2026)
  • ลูกค้าที่ซื้อของออนไลน์บ่อย: ถ้าร้านที่คุณใช้ยังไม่แพตช์ ความเสี่ยงอยู่ที่เซิร์ฟเวอร์ร้าน ไม่ใช่แอปมือถือคุณ

สิ่งที่ร้านควรทำ (ลำดับสั้นๆ)

  1. ติดตั้ง hotfix VULN-39341 ตามคู่มือ Adobe แล้วตรวจสถานะด้วยคำสั่งที่ Adobe / Sansec แนะนำ เช่น vendor/bin/magento-patches -n status | grep "39341\|Status"
  2. อย่าหยุดแค่แพตช์ Adobe บอกชัดว่าต้องหมุน encryption key และ credential ทุกอย่างที่คีย์นั้นเคยห่อไว้ เช่น รหัสแอดมิน โทเคน REST/SOAP/GraphQL รหัส payment gateway ที่ผู้ให้บริการ รหัสฐานข้อมูล SSH/deploy keys และ API ของปลั๊กอินภายนอก
  3. สแกนหา implant เพราะโจมตีเริ่มตั้งแต่ 4 ก.ย. ก่อนแพตช์มีอยู่ Sansec แนะนำ eComscan และอย่าสรุปว่าร้านสะอาดเพียงเพราะแพตช์ติดแล้ว
  4. ดูอีเมล Payment Transaction Failed Reminder ที่พุ่งผิดปกติ และอย่าคลิกลิงก์แปลกในอีเมลร้านถ้าคุณเป็นฝั่งลูกค้า

จุดที่คนพลาดง่าย: หมุนแค่ encryption key ใน Magento ไม่ได้ทำให้ credential ที่โจรอ่านไปแล้วใช้ไม่ได้ ต้องไปหมุนที่ต้นทาง เช่น Stripe / PayPal / ธนาคาร

สิ่งที่ลูกค้าทำได้

  • ถ้าได้รับอีเมล “ชำระเงินไม่ผ่าน” ทั้งที่ไม่ได้กดซื้อ อย่าเปิดลิงก์ในอีเมลนั้น
  • ตรวจยอดบัตร / พร้อมเพย์ และเปลี่ยนรหัสบัญชีร้านที่สงสัย
  • ถามร้านที่คุณซื้อบ่อยว่าแพตช์ APSB26-146 แล้วหรือยัง

ผมไม่ลงรายละเอียดวิธีโจมตีหรือ payload ในบทความนี้ เพราะเป้าหมายคือให้ร้านปิดรูและหมุนกุญแจให้ทัน

Recap

  • Adobe ออก APSB26-146 / VULN-39341 เมื่อ 7 ก.ย. 2026 สำหรับ CVE-2026-75650 (StyleSmuggler)
  • แพตช์อย่างเดียวไม่พอ: หมุน encryption key + credential ที่ต้นทางทั้งหมด
  • ร้านที่ถูกยิงก่อนแพตช์ต้องสแกนหาแบ็กดอร์ด้วย
  • ที่มาหลัก: Adobe Experience League และรายงาน Sansec ที่อัปเดตหลังแพตช์ออก