Magento a Adobe Commerce: útočníci zneužívají chybu PolyShell

Co se stalo

Adobe Commerce a jeho otevřená verze Magento Open Source patří k nejrozšířenějším platformám pro e-shopy, i v Česku a na Slovensku. Chyba CVE-2026-48356, kterou bezpečnostní firma Sansec pojmenovala PolyShell, dovoluje nahrát na server obchodu soubor nebezpečného typu a spustit tak vlastní kód.

Zařazení do katalogu KEV znamená, že útoky skutečně probíhají. Podle NVD útok vyžaduje interakci uživatele (například otevření škodlivé adresy).

Proč je to vážné

Sansec popisuje dlouhodobou kampaň, ve které útočník přes PolyShell nahrává na servery webshelly. Podle jeho zprávy z 24. 10. 2026:

• od července 2025 napadla kampaň 953 obchodů, převážně na Magentu,
• útočník vkládá do CMS bloků a stránek skript, který prohlížeče zákazníků připojuje k jeho serveru – bezpečnostním skenerům přitom podstrčí neškodnou odpověď,
• přístup do databáze mu zůstává i po odstranění skriptu, škodlivý kód se našel i na už opravených obchodech,
• konečný cíl (například krádež platebních karet) Sansec zatím nepotvrdil.

Už v březnu 2026 Sansec zaznamenal hromadnou vlnu útoků, při které během jedné hodiny přibylo 471 napadených obchodů.

Koho se to týká

Provozovatelů e-shopů na Adobe Commerce nebo Magento Open Source, kteří nenainstalovali červencovou opravu. Podle Adobe jsou zranitelné verze:

• 2.4.9,
• 2.4.8-p5 a starší,
• 2.4.7-p10 a starší,
• 2.4.6-p15 a starší,
• 2.4.5-p17 a starší,
• 2.4.4-p18 a starší.

Týká se i rozšíření Adobe Commerce B2B. Zákazníkům e-shopů se nic dělat nemusí – jednat musí provozovatel nebo jeho dodavatel.

Co udělat

1. Zjistěte verzi svého obchodu (nebo se zeptejte dodavatele, který e-shop spravuje).
2. Nainstalujte opravu APSB26-73. Adobe k ní vydal izolované opravy pro každou řadu (například 2-4-8-p5-jul-2026.zip). Podmínkou je mít nejdřív nejnovější bezpečnostní vydání své řady (2.4.8-p5, 2.4.7-p10 atd.). Opravy nejsou kumulativní, instalují se postupně. Obchody na Adobe Commerce Cloud mají opravu v nejnovější aktualizaci cloud-patches a izolovanou opravu instalovat nemají.
3. Ověřte instalaci nástrojem Commerce Version Tool, v cloudu příkazem vendor/bin/magento-patches -n status.
4. Prověřte, zda obchod nebyl napaden. Sansec doporučuje:
   • prohledat tabulky cms_block a cms_page na výrazy fpCode, se_referrer a localStorage.getItem a podívat se na nečekané změny ve sloupci update_time,
   • zkontrolovat neočekávané soubory v pub/media/custom_options/ a pub/media/customer_address/ a hledat soubor accesson.php,
   • projít účty v admin_user a neznámé procesy na serveru.
5. Po vyčištění změňte hesla k databázi, administraci a API integracím. Sansec doporučuje nainstalovat i starší opravu APSB25-88.
6. Pokud zjistíte únik osobních údajů zákazníků, zvažte své povinnosti podle GDPR (ohlášení Úřadu pro ochranu osobních údajů).

Aktualizace

• 6. 11. 2026 – první verze článku.