Sebuah kerentanan keamanan baru yang dijuluki ‘PolyShell’ dilaporkan berdampak pada seluruh instalasi stabil versi 2 dari platform Magento Open Source dan Adobe Commerce. Celah ini tergolong sangat kritis karena memungkinkan pelaku peretasan untuk melakukan eksekusi kode tanpa autentikasi serta pengambilalihan akun pengguna secara penuh.
Meski saat ini belum ada tanda-tanda eksploitasi aktif di alam liar (in the wild), firma keamanan e-commerce memberikan peringatan keras. Metode eksploitasi celah PolyShell ini dikabarkan telah beredar luas di berbagai forum, sehingga gelombang serangan otomatis diproyeksikan akan segera dimulai dalam waktu dekat.
Saat ini, Adobe memang telah merilis perbaikan, namun ketersediaannya masih sangat terbatas pada rilis alpha kedua untuk versi 2.4.9. Kondisi ini praktis membiarkan versi produksi yang digunakan secara luas oleh para pelaku bisnis tetap berada dalam status rentan. Adobe sejatinya menyediakan sampel konfigurasi server web untuk membatasi dampak serangan, tetapi pada praktiknya, mayoritas pengelola toko daring lebih bergantung pada konfigurasi bawaan dari penyedia layanan hosting mereka.
Akar Masalah dan Karakteristik Fail Polyglot
Akar masalah kerentanan ini bersumber pada REST API milik Magento yang menerima unggahan fail sebagai bagian dari opsi kustom untuk item di keranjang belanja. Ketika opsi produk diklasifikasikan dengan tipe ‘file’, sistem Magento akan memproses objek file_info tertanam yang berisi data fail tersandi base64, tipe MIME, dan nama fail. Fail tersebut kemudian langsung ditulis ke direktori pub/media/custom_options/quote/ di dalam server.
Penamaan ‘PolyShell’ sendiri merujuk pada pemanfaatan fail polyglot, yakni sebuah fail yang dirancang secara manipulatif agar dapat berfungsi ganda, baik sebagai gambar normal maupun skrip berbahaya. Bergantung pada konfigurasi server web yang digunakan target, kerentanan ini dapat membuka jalan bagi serangan Eksekusi Kode Jarak Jauh (RCE) atau pengambilalihan akun melalui stored XSS. Berdasarkan analisis menyeluruh terhadap lanskap toko daring Magento dan Adobe Commerce, ditemukan fakta bahwa banyak situs membiarkan fail di direktori unggahan tersebut terekspos bebas ke publik.
Langkah Mitigasi Mandiri
Selama menunggu rilis patch keamanan resmi untuk versi produksi dari Adobe, para administrator toko sangat disarankan untuk segera mengambil tindakan mitigasi mandiri. Langkah preventif yang wajib dilakukan meliputi pembatasan akses secara ketat ke direktori pub/media/custom_options/.
Administrator juga harus memverifikasi ulang bahwa aturan (rules) pada konfigurasi Nginx atau Apache benar-benar memblokir akses ke lokasi tersebut. Selain itu, pemindaian menyeluruh pada infrastruktur toko daring perlu dilakukan guna mendeteksi keberadaan shell unggahan, backdoor, maupun perangkat lunak berbahaya lainnya yang mungkin sudah bersarang di dalam sistem.