Magentoのゼロデイ「StyleSmuggler」が悪用され、Linuxバックドアが展開される（CVE-2026-75650）

Magentoのゼロデイ「StyleSmuggler」が悪用され、Linuxバックドアが展開される（CVE-2026-75650）

BleepingComputer – September 7, 2026

MagentoおよびAdobe Commerceの全バージョンに影響を及ぼすゼロデイ脆弱性「StyleSmuggler」が悪用され、バックドアが展開されているという。最初の悪用事例は9月4日に観測され、その時点で最新のセキュリティ更新プログラムを適用していた環境で確認されたようだ。

Eコマースセキュリティ企業のSansecによると、AdobeはStyleSmugglerをテンプレートエンジンで使用される特殊な要素の不適切な無効化に起因する「任意コード実行の脆弱性」と説明し、修正プログラムを7日にリリース。現在この脆弱性はCVE-2026-75650として追跡され、CVSSスコアは最高値の10.0と評価されているとのこと。MagentoはAdobeが提供する人気のオープンソースEコマースプラットフォームで、16万超のWebサイト（そのうち1万4,000サイトは上位100万サイトに含まれる）に導入されている。

Sansecが観測したエクスプロイトは、PHPコードインジェクションを通じてMagentoのテンプレートシステムを悪用し、偽の「支払い失敗」通知メールを生成してコードの実行をトリガーしていると説明された。攻撃が成功すると、Rust言語で記述された小規模なバックドアがバックグラウンドプロセスとしてインストールされるそうだ。

また、攻撃者は永続性を確保するため、30分ごとに実行されるcronジョブも追加している模様。攻撃後の追加活動は観測されていないものの、このバックドアはリモートのインフラストラクチャと通信し、コマンドを受け取ることが可能と説明された。

AdobeはStyleSmugglerの修正プログラムをフルリリースではなくホットフィックスとして公開。Sansecは、repo.magento.comからVULN-39341-composer-patches.zipをダウンロードし、コンポーザーパッチとして適用するよう呼びかけている。

独ベルリン州のランサムウェア被害、流出した機微情報に国家機密も含まれる恐れ

Security Affairs – September 07, 2026

ドイツ・ベルリン当局が身代金30ビットコインの支払いを拒否したことを受け、ランサムウェアグループRhysidaは約6TBの機微データをダークウェブ上に流出させたようだ。

同グループは8月にベルリン州の行政ネットワークにサイバー攻撃を行い、同州政府もその対応に当たっていることを認めていた。しかし、身代金の支払いを拒否されたRhysidaは、8月28日に自らのリークサイトで犯行声明を発表。ファイル約144万件、計5.79TBにもおよぶデータを盗み出したと主張した。そのデータセットには以下が含まれているという。

• 個人データ：1万2,076人分の個人情報、1万6,389件のメールアドレス、1万1,963件の電話番号、148件のIBAN（国際銀行口座番号）
• 機微レコード：5,000件以上の人事ファイル、5,000件以上の行政違反に関するファイル、給与データ、幹部情報
• 認証情報：平文のパスワード、GebäudAtlasおよび電子決済PAYONEのデータベース、Z_ADMINアカウントなどのシステムへのアクセス情報
• 政府・法務関連資料：懲戒処分手続き、訴訟案件、監督関連文書、秘密保持契約（NDA）の記録、連邦参議院委員会の議事録
• 機密情報：機密資料の取り扱いに関するデータ、国家機密を含むとされる文書
• 重要インフラ：ベルリンの水道供給に関する脆弱性分析
• 身分証明書：人事記録に含まれるパスポートや身分証
• その他資料：契約書、財務書類、人事記録、インフラ関連ファイル、健康データ、パスワード保存データ、SQL/PSTアーカイブ

Rhysidaはさらに、盗んだデータにはEU一般データ保護規則（GDPR）やドイツの機密情報規制、刑法、KRITIS/BSIG要件（重要インフラ保護に関する規制）に抵触するものが含まれる可能性もあると主張している。捜査当局は現在、公務員の個人情報や内部インフラのレコード、政府の重要データなどを含む約140万件のファイルを調査しているそうだ。

国防および政府機関策定の緊急時対応計画をはじめ、化学・生物・放射性物質・核の脅威に関するファイルも含まれるとされるため、現地では国家安全保障上の重大な懸念事項として議論を巻き起こしている模様。攻撃者が盗み出したデータを公開したことを受け、ベルリン州政府も危機対応体制の立ち上げを発表している。