StyleSmuggler: Magento / Adobe Commerce 0-day RCE ถูกโจมตีจริงตั้งแต่ 4 ก.ย.
ถ้าคุณเปิดร้านบน Magento หรือ Adobe Commerce หรือเพิ่งกดซื้อของออนไลน์ วันนี้ควรรู้ข่าวนี้ก่อนที่จะกดชำระเงินรอบถัดไป
Sansec รายงานเมื่อ 5 กันยายน 2026 ว่าพบช่องโหว่ที่ยังไม่มีแพตช์ ชื่อ StyleSmuggler บน Magento และ Adobe Commerce ซึ่งให้ remote code execution (RCE) ได้โดยไม่ต้องล็อกอิน RCE คือการให้เซิร์ฟเวอร์รันโค้ดของผู้โจมตีจากระยะไกล ทีม Sansec ยืนยันว่ามีโจมตีจริงตั้งแต่วันที่ 4 กันยายน
ผมสรุปเฉพาะระดับร้านค้าและผู้ซื้อ ไม่ลงรายละเอียดวิธีโจมตี ไม่มี payload และไม่มีขั้นตอน reproduce
สิ่งที่เกิดขึ้นแบบหยาบๆ
Sansec อธิบายว่า StyleSmuggler ฉีดโค้ดเข้าสู่ระบบเทมเพลตของ Magento โดยอาศัยคุณสมบัติ styles เพื่อเลี่ยงการป้องกันที่มีอยู่ แล้วทำให้ Magento ประมวลผลโค้ดนั้นผ่านเส้นทางที่เกี่ยวกับอีเมลแจ้ง Payment Transaction Failed Reminder คืออีเมลเตือนว่าการชำระเงินล้มเหลว
จุดสำคัญสำหรับคนดูแลร้านคือ โค้ดอันตรายทำงานตอน Magento สร้างอีเมล ไม่จำเป็นต้องเปิดอีเมล และแม้ส่งอีเมลไม่สำเร็จ ร้านก็อาจยังเสี่ยง
Sansec ทดสอบสายบน Magento Open Source 2.4.7, 2.4.8 และ 2.4.9 ได้ครบ และพบเหยื่อที่รัน 2.4.6-p15 พร้อมแพตช์กรกฎาคม–สิงหาคม 2026 แล้ว สถานะ security:patch-status สะอาด แต่ยังโดนได้ ณ ตอนเขียนนี้ Sansec ยังไม่ได้ระบุหมายเลข CVE ผมจึงไม่สมมติ CVE ขึ้นเอง
ใครกระทบ
- ร้านที่ใช้ Magento Open Source หรือ Adobe Commerce ในสายรุ่นปัจจุบัน รวมถึง 2.4.9
- ลูกค้าที่ซื้อจากร้านเหล่านี้ เสี่ยงทางอ้อมถ้าเซิร์ฟเวอร์ร้านถูกยึด เช่น การ์ดหรือบัญชีรั่ว
ถ้าคุณไม่ใช่เจ้าของร้าน แต่เพิ่งได้รับอีเมล “ชำระเงินไม่ผ่าน” จากร้านที่คุณไม่ได้กดซื้อ หรือได้รับชุดอีเมลแบบนี้ถี่ผิดปกติ ให้สงสัยและอย่าคลิกลิงก์ในอีเมลนั้น
สิ่งที่ร้านควรทำตอนนี้
- รอแพตช์ทางการของ Adobe ตามไทม์ไลน์ที่ Sansec อ้างถึง รอบ security bulletin ถัดไปประมาณ 8 กันยายน 2026 แต่ยังไม่ยืนยันว่าจะครอบคลุมบั๊กนี้
- ใช้ Sansec Shield ถ้ามี เพื่อบล็อกการโจมตีแบบเรียลไทม์ Sansec ระบุว่ากฎเริ่มบล็อกตั้งแต่เช้าวันที่ 5 กันยายน
- สแกนด้วย eComscan เพื่อหา implant และแบ็กดอร์ต่อเนื่อง Sansec ออก eComscan 1.9.7 ที่ช่วยยุติโปรเซสต้องสงสัยบางแบบให้ลูกค้า Shield
- ถ้ายังไม่มี Shield และยังแพตช์ไม่ได้ Sansec แนะนำทางเลือกชั่วคราวว่า ปิด GraphQL จนกว่า Adobe จะออกแพตช์ทางการ
- เฝ้าดูอีเมล Payment Transaction Failed Reminder ที่พุ่งผิดปกติ และอย่าสรุปว่าร้านปลอดภัยเพียงเพราะไม่ได้รับอีเมล
Sansec ยังเตือนว่าโจมตีก่อนที่ Shield จะอัปเดตกฎอาจผ่านไปแล้ว และแนะนำให้หมุน credential ของ Magento หากพบโปรเซสต้องสงสัยบนเครื่อง
สิ่งที่ลูกค้าควรทำ
- ซื้อจากร้านที่คุณเชื่อถือ และดูอีเมลชำระเงินล้มเหลวที่ไม่ได้กดสั่งซื้อ
- อย่าเปิดลิงก์แปลกในอีเมลร้าน ไม่กรอกบัตรซ้ำจากลิงก์ในอีเมล
- ถ้าสงสัยร้านโดน เปลี่ยนรหัสผ่านบัญชีร้านนั้น และตรวจยอดบัตร/พร้อมเพย์
Recap
- StyleSmuggler เป็น 0-day RCE บน Magento / Adobe Commerce มีโจมตีจริงตั้งแต่ 4 ก.ย. 2026 ตาม Sansec
- ยังไม่มี CVE ในรายงานนี้ และยังรอแพตช์ Adobe ประมาณ 8 ก.ย.
- ร้าน: Shield / eComscan ถ้าใช้ได้ ปิด GraphQL ชั่วคราวถ้าจำเป็น เฝ้าอีเมลชำระเงินล้มเหลว
- ลูกค้า: ระวังอีเมลแปลก อย่าคลิกลิงก์สุ่ม ตรวจยอดถ้าสงสัย
- อย่าทดลอง exploit บนร้านจริงครับ