StyleSmuggler روی Magento: WAF اضطراری Cloudflare جلوی هات‌فیکس Adobe را نمی‌گیرد

اگر فروشگاه روی Adobe Commerce یا Magento Open Source است، این هفته دو لایه دفاع آمده که نباید با هم اشتباه گرفته شوند: یکی هات‌فیکس روی origin، یکی قانون اضطراری روی edge. هیچ‌کدام به‌تنهایی به‌جای دیگری نمی‌نشیند.

Adobe در مقالهٔ APSB26-146 (آخرین به‌روزرسانی ۱۱ سپتامبر ۲۰۲۶) نوشته از exploitation در طبیعت علیه فروشگاه‌های Commerce مطلع است. شناسه: CVE-2026-75650. اسم رایج: StyleSmuggler. آپدیت بحرانی ۷ سپتامبر آمده؛ هات‌فیکس عملی: VULN-39341.

بردار حمله بدون لاگین است: مهاجم payload PHP را از طریق propertyهای styles در موتور قالب قاچاق می‌کند تا از کنترل‌های ایمنی رد شود و روی نصب آسیب‌پذیر کد اجرا کند. Cloudflare همین را در changelog ۱۰ سپتامبر این‌طور خلاصه کرده: improper neutralization در template engine، تزریق PHP از طریق style properties، اجرای فرمان سیستم و malware ماندگار.

نسخه‌های در معرض طبق Adobe شامل شاخه‌های Commerce از 2.4.4 تا 2.4.9 (ریلیز آگوست ۲۰۲۶ و قبل‌تر)، B2B از 1.3.3 تا 1.5.3، و Magento Open Source از 2.4.6 تا 2.4.9 است. جدول دقیق zip/پچ را از همان صفحه بردارید؛ هات‌فیکس بعداً با 2.4.4 تا 2.4.7 هم سازگار شده و چند فایل جدا برای p-versionها دارد.

Edge فقط زمان می‌خرد

۱۰ سپتامبر Cloudflare یک WAF اضطراری برای همین CVE منتشر کرد: قانون جدید در Managed Ruleset با اکشن Block، به‌عنوان virtual patching در لبه. خود Cloudflare تأکید می‌کند origin باید فوری آپدیت شود؛ قانون edge جایگزین هات‌فیکس Adobe نیست.

بعد از اعمال پچ، Adobe صریح می‌گوید چرخاندن encryption key به‌تنهایی کافی نیست. کلید برای توکن یکپارچه‌سازی، cred درگاه پرداخت و توکن automation استفاده می‌شود؛ rotate کردن کلید، credentialی را که قبلاً لو رفته باطل نمی‌کند. باید همه را در منبع بچرخانید: رمز ادمین، توکن REST/SOAP/GraphQL، secret اوآث، API درگاه پرداخت، cred دیتابیس و Fastly، کلید SSH/deploy، و کلید افزونه‌های ارسال و مالیات. ترتیب پیشنهادی Adobe: هات‌فیکس، maintenance mode، خاموش کردن cron، rotate کلید، rotate همهٔ credها، flush کش، روشن کردن cron.

اگر Cloudflare جلوی فروشگاه است، قانون ۱۰ سپتامبر را روشن کنید — و همان روز VULN-39341 را روی origin بزنید. فروشگاهی که فقط WAF دارد و کلید را نچرخانده، هنوز داستان StyleSmuggler را تمام نکرده.