Zero-Day Magento StyleSmuggler Dieksploitasi untuk Memasang Backdoor Linux

Sebuah kerentanan zero-day yang dijuluki StyleSmuggler pada Magento dan Adobe Commerce kini sedang dieksploitasi dalam serangan untuk memasang backdoor pada server Linux.

Kerentanan tersebut dilaporkan memengaruhi seluruh versi Magento dan Adobe Commerce. Salah satu insiden eksploitasi pertama yang diketahui terjadi pada 4 September 2026, bahkan menargetkan server yang sudah menjalankan pembaruan keamanan terbaru.

Perusahaan keamanan e-commerce Sansec mengatakan Adobe Enterprise Support telah mengonfirmasi bahwa Adobe sedang mengerjakan perbaikan untuk StyleSmuggler. Namun, hingga saat ini belum ada jadwal resmi kapan patch tersebut akan dirilis.

Magento sendiri merupakan salah satu platform e-commerce open-source yang populer. Platform tersebut digunakan oleh lebih dari 160.000 situs, termasuk sekitar 14.000 situs yang masuk dalam satu juta website teratas.

StyleSmuggler Memanfaatkan Sistem Template Magento

Eksploitasi StyleSmuggler yang diamati Sansec di dunia nyata memanfaatkan sistem template Magento melalui PHP code injection.

Dalam serangan yang diamati, attacker menyuntikkan kode PHP untuk menghasilkan email palsu dengan subjek atau konteks “failed-payment”. Proses tersebut kemudian memicu eksekusi kode pada server.

Jika eksploitasi berhasil, attacker dapat menjalankan kode secara langsung pada lingkungan Magento yang menjadi target.

Dampaknya menjadi serius karena server e-commerce biasanya memiliki akses ke berbagai informasi dan komponen penting yang berkaitan dengan operasional toko online.

Backdoor Rust Disamarkan sebagai Proses Sistem

Setelah memperoleh eksekusi kode, attacker memasang backdoor berukuran kecil yang ditulis menggunakan Rust.

Malware tersebut berjalan sebagai background process dan berusaha menyamarkan dirinya sebagai proses sistem Linux bernama kworker/u:8:0.

Pada versi malware yang lebih baru, penyamaran dilakukan dengan nama fc-cache. Malware juga menyalin dirinya ke lokasi:

~/.cache/fontconfig/fc-cache

Penggunaan nama proses yang terlihat seperti komponen sistem bertujuan membantu malware menghindari perhatian administrator ketika mereka memeriksa proses yang sedang berjalan pada server.

Menggunakan Cron untuk Persistence

Backdoor juga menambahkan sebuah cron job yang dijalankan setiap 30 menit.

Mekanisme tersebut memberikan persistence sehingga malware dapat dijalankan kembali secara berkala meskipun proses utamanya berhenti.

Sansec belum menemukan aktivitas lanjutan setelah backdoor berhasil dipasang pada sistem yang diamati. Namun, malware tersebut memiliki kemampuan untuk berkomunikasi dengan infrastruktur remote dan menerima perintah.

Dengan kata lain, server yang berhasil dieksploitasi berpotensi menjadi bagian dari tahap serangan berikutnya apabila operator mengirimkan instruksi melalui infrastruktur command-and-control (C2).

Komunikasi Malware Berusaha Menyamarkan Traffic

Versi awal backdoor yang dianalisis Sansec menggunakan TLS/WebSockets untuk berkomunikasi dengan alamat C2.

Pada sampel yang lebih baru, mekanisme komunikasinya dibuat lebih sulit dibedakan dari traffic normal dengan menyamarkannya sebagai Network Time Protocol (NTP).

Malware mengirimkan paket UDP ke port 123, port yang umum digunakan oleh NTP untuk sinkronisasi waktu.

Hostname yang digunakan juga dibuat menyerupai infrastruktur time-sync sehingga traffic berbahaya dapat terlihat seperti komunikasi NTP biasa dan berpotensi melewati firewall yang memiliki aturan berdasarkan jenis traffic.

Teknik ini menunjukkan bahwa operator malware tidak hanya mengandalkan persistence, tetapi juga berusaha menyembunyikan komunikasi dengan server pengendali.

Malware Memeriksa IP Publik dan Aktivitas Tracing

Backdoor StyleSmuggler juga memiliki sejumlah kemampuan untuk mengenali lingkungan server yang telah disusupi.

Malware dapat mencari tahu alamat IP publik server menggunakan sejumlah layanan internet, termasuk:

• ipify
• icanhazip
• ident.me
• ipinfo.io

Selain itu, malware memeriksa nilai TracerPid pada Linux untuk mengetahui apakah proses sedang dilacak atau dianalisis.

Menariknya, apabila tracing terdeteksi, malware tetap melakukan instalasi tetapi tidak melakukan beaconing ke server pengendali.

Perilaku tersebut dapat membantu malware menghindari analisis selama proses investigasi atau debugging.

Email Gagal Pembayaran Bisa Menjadi Tanda Serangan

Sansec memperingatkan administrator Magento untuk memperhatikan lonjakan yang tidak biasa pada email “Payment Transaction Failed Reminder”.

Lonjakan email tersebut dapat menjadi salah satu indikasi bahwa server telah dieksploitasi menggunakan StyleSmuggler.

Administrator juga disarankan memeriksa keberadaan proses mencurigakan dengan nama kworker atau fc-cache, cron job yang tidak dikenal, serta file-file mencurigakan yang muncul di direktori sementara.

Pemeriksaan ini penting karena sekadar memastikan bahwa website masih dapat diakses dengan normal tidak cukup untuk memastikan server bebas dari kompromi.

Adobe Belum Merilis Patch

Hingga saat informasi ini dipublikasikan, Adobe belum merilis pembaruan yang secara khusus memperbaiki StyleSmuggler.

Adobe dijadwalkan mengeluarkan security release berikutnya pada 8 September 2026. Namun, belum ada konfirmasi apakah perbaikan untuk StyleSmuggler akan termasuk dalam pembaruan tersebut.

Adobe juga belum memberikan timeline resmi mengenai ketersediaan patch.

Sambil menunggu perbaikan resmi, Sansec merekomendasikan administrator website untuk menonaktifkan GraphQL sebagai langkah mitigasi sementara.

Jika terdapat indikasi server telah dikompromikan, administrator juga disarankan melakukan rotasi kredensial Magento untuk mengurangi risiko penyalahgunaan kredensial yang mungkin telah diakses attacker.

Karena StyleSmuggler sudah dieksploitasi di dunia nyata dan bahkan ditemukan pada server yang telah mendapatkan security update terbaru, administrator Magento dan Adobe Commerce perlu memperlakukan situasi ini sebagai ancaman serius.

Sampai patch resmi tersedia, pembatasan permukaan serangan, pemantauan proses dan cron job, serta pemeriksaan terhadap aktivitas email yang tidak biasa menjadi langkah penting untuk mendeteksi kemungkinan kompromi lebih awal.

Sumber: Sansec