PolyShell (CVE-2026-48356) là lỗi upload file không giới hạn trong Magento Open Source và Adobe Commerce — kẻ tấn công không cần đăng nhập cũng có thể upload file thực thi qua API giỏ hàng công khai, rồi biến nó thành backdoor để gắn skimmer thẻ vào shop. Lỗi đã bị khai thác thật từ tháng 3/2026, CISA đưa vào KEV ngày 27/10 — và hạn xử lý cho cơ quan liên bang Mỹ đã qua hôm qua, 10/11/2026.

Lỗi hoạt động thế nào

  • API REST đằng sau giỏ hàng (dùng cho checkout của khách vãng lai) chấp nhận file đính kèm cho bất kỳ sản phẩm nào — kể cả sản phẩm không có tùy chọn file — từ bất kỳ ai, không cần đăng nhập.
  • Kẻ tấn công dùng file polyglot — code ngụy trang thành ảnh — để qua mặt kiểm tra định dạng, rồi upload lên pub/media/custom_options/quote/.
  • Theo Sansec (đơn vị đặt tên PolyShell, công bố advisory ngày 17/03/2026): các cuộc tấn công bắt đầu từ 19/03/2026, sau đó là quét diện rộng tự động. Bên trong store bị chiếm, chúng cài webshell PHP, backdoor accesson.php nhân bản ra nhiều thư mục, và chèn JavaScript độc vào trang/block CMS để đánh cắp dữ liệu thẻ.
  • CVSS: 9.3 (NVD) / 9.6 (Adobe, bulletin APSB26-73).

Ai bị ảnh hưởng và vá thế nào

  • Adobe Commerce 2.4.4–2.4.9 và Magento Open Source 2.4.6–2.4.9 (các bản trước tháng 7/2026).
  • Vá: bản July 2026 cho từng dòng phiên bản (ví dụ 2.4.9-2026-jul), bulletin APSB26-73 ngày 14/07/2026. Lưu ý: Sansec cho rằng bản 2.4.9 (12/05/2026) đã chứa bản vá, nhưng Adobe vẫn liệt kê 2.4.9 là bị ảnh hưởng cho tới bản July — cứ cài bản July cho chắc.
  • Cài bản vá rồi vẫn phải kiểm tra dấu hiệu bị chiếm: Sansec cho biết 60% store Magento 2 bị nhiễm mà họ kiểm tra có file được upload qua PolyShell hoặc qua lỗi SessionReaper trước đó (CVE-2025-54236) — và có store đã cài đủ patch lõi vẫn bị cài loader.

Đừng dừng ở mỗi PolyShell

  • Cùng các dòng phiên bản này còn hai lỗi khác cũng đang bị khai thác thật: CVE-2026-75650 "StyleSmuggler" (CVSS 10.0, vào KEV 08/09) và CVE-2026-71362 (CVSS 9.1). Cài bản vá mới nhất, không chỉ riêng bản vá PolyShell.
  • Lỗi BlockStrap CVE-2026-103849 (CVSS 10.0, bulletin APSB26-153 ngày 13/10) cần bản vá tháng 10 riêng — vá PolyShell không bao gồm nó. Tới 28/10 chưa thấy BlockStrap bị khai thác trên store thật và chưa vào KEV, nhưng vẫn nên vá.

Nếu bạn đang chạy Magento/Adobe Commerce mà chưa cài bản vá July 2026: coi như đang lộ — vá ngay và rà soát toàn bộ store.

Nguồn: