ԱՄՆ կիբեռգործակալությունը ցանկում ներառել է PolyShell-ը․ Sansec-ը՝ հարյուրավոր կոտրված խանութների մասին

ԱՄՆ կիբեռանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը (CISA) 2026 թվականի հոկտեմբերի 27-ին Adobe Commerce-ին և Magento-ին առնչվող խոցելիությունն ավելացրել է հայտնի շահագործվող խոցելիությունների ցանկում՝ վկայակոչելով դրա շահագործման ապացույցները։ CVE-2026-48356 խոցելիությունը, որը հայտնի է նաև որպես PolyShell, կարող է հարձակվողներին թույլ տալ կոդ գործարկել ընթացիկ օգտատիրոջ թույլտվություններով։

Խոցելիությունը ցանկում ներառվել է այն բանից հետո, երբ Sansec-ը հայտնաբերել է, որ հարձակվողները PolyShell-ի միջոցով ներխուժել են էլեկտրոնային առևտրի հարյուրավոր խանութներ, ինչպես իր հոկտեմբերի 28-ի հոդվածում գրել է The Hacker News-ը։ Հարձակվողները վնասաբեր բեռնիչ՝ այլ ծրագրեր ներբեռնող և գործարկող ծրագիր, տեղադրել են Magento-ի բովանդակության կառավարման համակարգի բլոկի միջոցով։ Դա խանութի բովանդակության մի հատված է, որը կառավարվում է Magento-ում։

Ինչ է թույլ տալիս խոցելիությունը

PolyShell-ը թույլ է տալիս առանց սահմանափակման վերբեռնել վտանգավոր տեսակի ֆայլեր։ Ընթացիկ օգտատիրոջ թույլտվություններով հարձակվողի տրամադրած կոդի գործարկումը կարող է նրան ավելի մեծ հասանելիություն կամ վերահսկողություն տալ տուժողի հաշվի կամ աշխատաշրջանի նկատմամբ։ Խոցելիության վտանգավորությունը խոցելիությունների գնահատման ընդհանուր համակարգով գնահատվել է 9,3 միավոր՝ 10-ից։

Բեռնիչը նախատեսված է ներբեռնելու և գործարկելու հարձակվողի վերահսկած ծրագիրը, որը պետք է փոխանցվի հարձակման հաջորդ փուլում։ Հոկտեմբերի 28-ի դրությամբ հաջորդ փուլի վնասաբեր ծրագիր դեռ չէր հայտնաբերվել, ուստի անհայտ են թե՛ այդ ծրագիրը, թե՛ հարձակումների արշավի հստակ նպատակները։

Շտկման վերջնաժամկետը դաշնային մարմինների համար

ԱՄՆ դաշնային քաղաքացիական գործադիր մարմինները պետք է անհրաժեշտ շտկումները կատարեն մինչև 2026 թվականի նոյեմբերի 10-ը․ այս վերջնաժամկետը չի վերաբերում բոլոր խանութների օպերատորներին։