← Все новости

Безопасность ·

953 интернет-магазина, в основном на Magento, заражены скиммером, невидимым для сканеров953 online stores, mostly Magento, infected with a scanner-evading skimmer loader

Sansec обнаружила кампанию, которая с июля 2025 года внедряет загрузчик вредоносного JavaScript в CMS-блоки Magento через уязвимости PolyShell и SessionReaper. Код ничего не отдаёт сканерам и кэширует нагрузку в localStorage браузера.Sansec uncovered a campaign that since July 2025 has planted a malicious JavaScript loader in Magento CMS blocks via the PolyShell and SessionReaper flaws. It serves nothing to scanners and caches its payload in the browser's localStorage.

Исследователи Sansec описали долгоживущую Magecart-подобную кампанию: заражено 953 интернет-магазина, большинство — на Magento/Adobe Commerce.

Как заражают

  • Около 471 магазина взломаны через PolyShell (CVE-2026-48356).
  • Ещё 102 — через загрузку файлов с помощью PolyShell или SessionReaper (CVE-2025-54236).
  • В одном случае использовалась поддельная учётная запись администратора.

Загрузчик прячется в таблице cms_block и не отдаёт ничего автоматическим сканерам. Первая версия кэширует нагрузку в localStorage, поэтому продолжает работать, даже если домен атакующих отключён; вторая добавила снятие отпечатка браузера. Самый свежий домен, deepveindrilling[.]com (зарегистрирован 6 октября), найден в 83 магазинах. Финальная нагрузка пока неизвестна.

Что делать владельцам магазинов

  • Установить исправления Adobe APSB26-73.
  • Проверить список администраторов.
  • Просмотреть таблицы cms_block и cms_page на посторонние скрипты — внешний сканер такую заразу не увидит.

Sansec researchers described a long-running Magecart-style campaign: 953 online stores infected, most of them on Magento/Adobe Commerce.

How stores are compromised

  • About 471 stores were breached via PolyShell (CVE-2026-48356).
  • Another 102 via file uploads using PolyShell or SessionReaper (CVE-2025-54236).
  • One case used a rogue admin account.

The loader hides in the cms_block table and serves nothing to automated scanners. Version 1 caches its payload in localStorage, so it keeps working even if the attackers’ domain goes down; version 2 adds browser fingerprinting. The newest domain, deepveindrilling[.]com (registered Oct 6), was found in 83 stores. The final payload is still unknown.

What store owners should do

  • Apply Adobe APSB26-73.
  • Audit admin accounts.
  • Inspect the cms_block and cms_page tables for foreign scripts — an external scanner will not see this infection.

Источники