دو آسیب‌پذیری خطرناک StyleSmuggler و PostGREShell که همین هفته سایت‌ها و سرورها را تهدید می‌کنند

اگر سایت شما روی Magento یا Adobe Commerce اجرا می‌شود، یا سرورهایتان از دیتابیس PostgreSQL استفاده می‌کنند، این مطلب را از دست ندهید. در فاصله چند روز اخیر، دو آسیب‌پذیری جدی و کاملاً تازه در دنیای امنیت وب افشا شده که هرکدام می‌توانند به تصاحب کامل سایت یا سرور منجر شوند. اولی، یک باگ روز-صفر فعال و بدون وصله در فروشگاه‌سازهای مجنتو و ادوبی کامرس است که همین الان در حال سوءاستفاده است؛ دومی، یک نقص ۱۲ساله در PostgreSQL است که تازه کشف و پچ شده است.

در ادامه هر دو مورد را به‌طور کامل بررسی می‌کنیم و می‌گوییم اگر از این پلتفرم‌ها استفاده می‌کنید، همین حالا چه کاری باید انجام دهید.

۱. StyleSmuggler؛ آسیب‌پذیری روز-صفر فعال در Magento و Adobe Commerce

شرکت امنیتی هلندی Sansec که در زمینه امنیت فروشگاه‌های آنلاین فعالیت می‌کند، آسیب‌پذیری جدیدی به نام StyleSmuggler کشف کرده که هم‌اکنون به‌صورت فعال در حال سوءاستفاده است.

چه اتفاقی افتاده؟

نخستین مورد سوءاستفاده از این آسیب‌پذیری در تاریخ ۴ سپتامبر ۲۰۲۶ ثبت شد. Sansec به‌دلیل حساسیت بالای موضوع، اعلامیه خود را زودتر از حد معمول و پیش از تکمیل تحلیل فنی کامل منتشر کرد؛ همان‌طور که این شرکت اعلام کرد، دلیل این کار ساده بود: فروشگاه‌ها همین الان در حال هک‌شدن هستند.

نکته نگران‌کننده‌تر این‌ است که این آسیب‌پذیری اصلاً به‌روز یا قدیمی‌بودن نسخه ربطی ندارد؛ حتی فروشگاهی که تمام وصله‌های امنیتی جولای و آگوست ۲۰۲۶ را نصب کرده بود و وضعیت پچ آن «سالم» گزارش می‌شد، هم قربانی این حمله شد.

این آسیب‌پذیری چگونه کار می‌کند؟

StyleSmuggler یک آسیب‌پذیری اجرای کد از راه دور (RCE) بدون نیاز به احراز هویت است، یعنی مهاجم حتی نیازی به داشتن یوزرنیم و پسورد هم ندارد. حمله در دو مرحله انجام می‌شود:

1. مهاجم با استفاده از ویژگی «styles» در سیستم قالب (Template) مجنتو، کد PHP مخرب را به‌صورت پنهانی درون سیستم تزریق می‌کند؛ برای مثال از طریق ایجاد یک گزارش خطا (failure report).
2. مجنتو خودش، بدون هیچ دخالت کاربر، این کد مخرب را هنگام ارسال ایمیل خودکار «یادآوری تراکنش پرداخت ناموفق» اجرا می‌کند. یعنی حتی نیازی نیست کسی آن ایمیل را باز یا حتی دریافت کند؛ صرفاً تولید و پردازش داخلی همان ایمیل کافی است.

بدافزار پس از نصب، هر ۶۰ ثانیه یک‌بار با ارسال بسته‌های کوچک شبیه به ترافیک پروتکل NTP (زمان‌سنجی شبکه) با سرور فرماندهی مهاجم ارتباط برقرار می‌کند تا اطلاعاتی مانند نام میزبان، سیستم‌عامل و وضعیت دسترسی root را افشا کند؛ روشی که تشخیص آن را برای ابزارهای امنیتی معمولی دشوارتر می‌کند.

چه سایت‌هایی در خطرند؟

طبق گزارش‌ها، این آسیب‌پذیری تمام نسخه‌های فعلی Magento Open Source و Adobe Commerce از جمله آخرین نسخه ۲.۴.۹ را در بر می‌گیرد. با توجه به این‌که مجنتو روی بیش از ۱۶۰ هزار سایت در سراسر دنیا (از جمله حدود ۱۴ هزار سایت در میان یک میلیون سایت برتر) نصب شده، دامنه تأثیرگذاری این باگ بسیار گسترده است.

وضعیت پچ رسمی

تا لحظه انتشار این مطلب (۷ سپتامبر ۲۰۲۶)، شرکت ادوبی هنوز نه شناسه CVE برای این آسیب‌پذیری صادر کرده، نه اعلامیه رسمی منتشر کرده و نه پچ یا راهکار موقتی ارائه داده است. تنها واکنش رسمی، تأیید بخش پشتیبانی سازمانی ادوبی (Adobe Enterprise Support) مبنی بر این بوده که روی رفع مشکل کار می‌کنند، بدون اعلام هیچ زمان‌بندی مشخصی.

چه باید کرد؟

• تا زمان انتشار پچ رسمی، غیرفعال‌کردن موقت GraphQL روی سایت مجنتو، به‌عنوان راهکار موقت توصیه شده است.
• بررسی دایرکتوری var/report/ مجنتو برای فایل‌های مشکوک حاوی رشته x_trace_ و همچنین فرآیندهای غیرمعمول مانند kworker یا fc-cache، و کرون‌جاب‌های ناشناس.
• استفاده از ابزارهای تخصصی اسکن کامپرومایز مانند eComscan برای بررسی وجود بک‌دور.
• پیگیری مستمر اعلامیه‌های امنیتی ادوبی، چون انتظار می‌رود پچ رسمی به‌زودی منتشر شود.

۲. PostGREShell؛ آسیب‌پذیری ۱۲ساله در PostgreSQL

در همین بازه زمانی، شرکت امنیتی Cyera از کشف آسیب‌پذیری دیگری با نام PostGREShell خبر داد؛ نقصی که از سال ۲۰۱۴ (یعنی حدود ۱۲ سال) در PostgreSQL، یکی از پرکاربردترین سامانه‌های مدیریت پایگاه‌داده متن‌باز دنیا، پنهان مانده بود.

این آسیب‌پذیری چیست؟

این باگ که با شناسه CVE-2026-6471 و امتیاز شدت ۷.۲ از ۱۰ ثبت شده، در قابلیت «رمزگشایی منطقی» (Logical Decoding) پستگرس‌کیوال قرار دارد. مشکل اصلی، نبود بررسی مجوز کافی است: هر حسابی که فقط دسترسی «Replication» (تکرار/همانندسازی) داشته باشد -دسترسی‌ای که معمولاً به ابزارهای بک‌آپ، پایپلاین‌های انتقال داده و سامانه‌های مانیتورینگ داده می‌شود- می‌تواند با انتخاب یک پلاگین دلخواه، هر فایلی که برای اکانت سیستم‌عامل اجراکننده سرور قابل‌مشاهده باشد را لود کرده و کد دلخواه را با همان سطح دسترسی سرور اجرا کند.

نتیجه نهایی می‌تواند شامل موارد زیر باشد:

• اجرای کد دلخواه (Remote Code Execution)
• دسترسی سوپریوزر دائمی، از طریق تغییر جدول سیستمی pg_authid
• ایجاد بک‌دور ماندگار، از جمله فعال‌سازی اتصال‌های بدون رمز عبور

به بیان ساده، یک حساب کم‌اهمیت که همه فکر می‌کنند فقط برای بک‌آپ‌گیری است، می‌تواند به کلید تصاحب کامل دیتابیس و حتی سرور تبدیل شود.

چه نسخه‌هایی درگیرند؟

این آسیب‌پذیری نسخه‌های ۹.۴ تا ۱۸ پستگرس‌کیوال را شامل می‌شود؛ یعنی عملاً هر نسخه‌ای که از سال ۲۰۱۴ به بعد منتشر شده. پچ رسمی این باگ در نسخه‌های ۱۸.۶، ۱۷.۱۱، ۱۶.۱۵، ۱۵.۱۹ و ۱۴.۲۴ ارائه شده است.

چه باید کرد؟

• در اسرع وقت، نسخه PostgreSQL خود را به یکی از نسخه‌های پچ‌شده بالا ارتقا دهید.
• تمام حساب‌های کاربری‌ای که ویژگی Replication دارند را بازبینی کنید.
• ویژگی Replication را از هر حسابی که واقعاً به آن نیاز ندارد، حذف کنید؛ این ویژگی نباید به‌صورت پیش‌فرض یا بی‌دلیل به حساب‌ها داده شود.

جمع‌بندی: چرا این دو خبر برای صاحبان سایت مهم است؟

این دو مورد یک نکته مشترک مهم را نشان می‌دهند: خطر همیشه از جایی که انتظارش را دارید نمی‌آید. StyleSmuggler نشان داد که حتی سایتی با آخرین وصله‌های امنیتی هم می‌تواند قربانی یک باگ ناشناخته شود؛ و PostGREShell نشان داد که یک دسترسی به‌ظاهر بی‌خطر مثل Replication، می‌تواند سال‌ها بدون توجه باقی بماند و در نهایت به فاجعه امنیتی تبدیل شود.

توصیه کلی برای صاحبان سایت و مدیران سرور:

• همیشه اعلامیه‌های امنیتی رسمی پلتفرم و دیتابیسی که استفاده می‌کنید را دنبال کنید.
• علاوه بر آپدیت منظم، از ابزارهای مانیتورینگ و تشخیص نفوذ (مثل اسکن فایل‌های مشکوک و بررسی لاگ‌ها) هم غافل نشوید.
• اصل «کمترین دسترسی لازم» (Least Privilege) را برای همه حساب‌های کاربری و سرویسی رعایت کنید؛ همان چیزی که در مورد PostGREShell نادیده گرفته شده بود.

منابع

1. Sansec – StyleSmuggler: Magento and Adobe Commerce 0-day RCE under active attack
2. The Hacker News – Unpatched Magento and Adobe Commerce Zero-Day Exploited to Backdoor Online Stores
3. BleepingComputer – Magento StyleSmuggler zero-day exploited to deploy Linux backdoor
4. SecurityWeek – Adobe Commerce Zero-Day Exploited to Backdoor Online Stores
5. Cyera Research – PostGREShell: The database powering much of the internet had an open door for 12 years
6. SecurityWeek – 12-Year-Old PostgreSQL Vulnerability Enables Database, Server Takeover
7. CSO Online – Decade-old PostgreSQL flaw turns backup account into a backdoor