Hackers Exploit Adobe Commerce Zero-Day to Deploy PSK Agent RAT and Remotely Control Servers
2026/11/03 CyberSecurityNews — Adobe Commerce と Magento に存在する深刻な脆弱性を悪用する攻撃者が、オンラインストアのサーバに PSK Agent と呼ばれる隠蔽型のリモートアクセス・ツールをインストールしている。PSK Agent の起動に成功すると、攻撃者は、コマンドの実行やサーバを経由した通信の中継を達成し、再起動後もアクセスを維持できるようになる。この攻撃で悪用される脆弱性 CVE-2026-75650 は、StyleSmuggler と名付けられており、9月初旬にゼロデイ脆弱性として初めて公表されたものだ。
Adobe Commerce／Magento のバージョン 2.4.9 などの、その時点の最新バージョンに影響を及ぼしていた、脆弱性 CVE-2026-75650 を悪用する攻撃者は、ログインせずにオンライン・ストアのサーバ上で任意のコードを実行できる。
Sansec が指摘していたのは、公表から数日で複数の攻撃グループが、この脆弱性を悪用して複数種のマルウェアを配布し始めたことである。その一方で、 2026年09月9日 〜 9月13日に実施された組織的な攻撃キャンペーンの調査結果として、11月2日に Imperva が明らかにしたのは、PSK Agent の活動である。
攻撃対象となったのは、西ヨーロッパ／北米／アジア太平洋地域のオンラインストアである。分析の時点で、このマルウェアの VirusTotal における検出率は 0% であり、一般的なファイルスキャンでは検出されなかった可能性が高い。
攻撃者が Adobe Commerce のゼロデイ脆弱性を悪用
攻撃者が標的としたのは、StyleSmuggler の攻撃手順の最初の段階に対応するエンドポイント “/paypal/transparent/response/” である。この段階で攻撃者は、リクエストのクエリ文字列に PHP コードを挿入する。
その後に、Magento はエラーをログに記録し、挿入されたコードを “var/report/” ディレクトリ内のレポートファイルに書き込む。続いて、”/graphql” へ向けた 2回目のリクエストで、攻撃者が制御する “styles” の値を使用して、悪意のコードを取り込むファイルが読み込まれてコードが実行される。
Imperva が確認したのは、少数の IP アドレスから発信された 5つの攻撃クラスターである。ほぼ同一のペイロードが使用されていたことが示唆するのは、脆弱なオンラインストアを大規模にスキャンする自動化ツールの存在である。
最初のスクリプトである “psk_agent.sh” のダウンロード URL は、12種類のペイロードのバリエーションに合計 96回出現していた。それが示すのは、同一の安定した配布経路を攻撃者が継続的に使用していたことである。
この PHP ペイロードは、”shell_exec”／”system”／”exec” の各関数を順番に試行する。いずれかの関数がブロックされている場合には、エラーを表に出さずに次の関数へ切り替える。その後に、”curl” コマンドを実行し、取得したスクリプトを直接 “bash” にパイプで渡すため、最初のコマンドにおけるスクリプトはディスクに保存されない。
3,313バイトのスクリプトは、”/tmp” や “/dev/shm” など、書き込みと実行が可能なディレクトリを探索する。その後に、”curl”／”wget”／Python のいずれかを使用して、次の段階のペイロードをダウンロードし、バックグラウンドで実行する。
次の段階で実行されるのは、強固に難読化された 10.5 MB の Go プログラム “chi_down” である。このプログラムにより、シェルコマンドの実行／ホスト情報の収集／SOCKS5 を使用した通信のプロキシ処理が実行される。
それに加えて、HTTP／HTTPS／暗号化された通信チャネルを介して、攻撃者との通信が確立される。起動引数の -checkagent=false -maintain=true は、再起動後も動作を維持することを意図した設計であることを示唆している。
手がかりは DNS ビーコン／Web シェル／中国語話者の攻撃者
一部のペイロードには、侵害の成功を攻撃者へ通知する機能も含まれていた。このコードは、被害システムのホスト名を “0f851bdc9d.ddns.1433.eu.org” 配下の固有のサブドメインに組み込み、HTTP リクエストと DNS リクエストを送信していた。
攻撃者は DNS サーバを制御しているため、HTTP リクエストが失敗した場合でも、DNS の名前解決要求だけで攻撃の成功を確認できた。これにより、侵害したサーバの一覧を、目立たない形で継続的に把握することが可能になった。
一部の事例では、攻撃者は追加のアクセス経路も確保していた。”t4.php” をダウンロードし、”pub/media/” などの公開ディレクトリに “zer4.php” という名前で保存していた。
このファイルマネージャは 910行のコードで構成されるが、同様の PHP Web シェル は、攻撃者によるファイルの編集／データのアップロードとダウンロード／システムコマンドの実行を可能にする。このツールは PHP の Foreign Function Interface (FFI) を使用して “libc” を直接呼び出すため、一般的な PHP 関数が無効化されている場合でも動作する可能性がある。
すべてのサンプルにおいて、同じハードコードされた AES-256-CBC キーが含まれていたことが示唆するのは、単一の攻撃者／共通のツールキットが使用されていた可能性である。Imperva が発見したのは、スクリプト内の中国語コメントや、インフラ内の “chinow” や “chi_down” といった名称である。
それにより、中国語を使用する攻撃者が関与している可能性が高いと、研究者は中程度の確信度で評価している。ただし、言語に関する手掛かりは、意図的に埋め込まれることもあり、別の攻撃からコピーされる可能性もあると研究者は警告しており、特定の攻撃グループへの帰属には至っていない。
さらに研究者は、この評価が PSK Agent を使用した活動に限定されることを強調している。この脆弱性 CVE-2026-75650 (StyleSmuggler) は、別の攻撃者も悪用しており、Rust 製バックドアや PHP ドロッパーの配布などが行われている。
オンラインストアの管理者にとって必要なことは、Adobe が提供する VULN-39341 ホットフィックスを適用することである。ただし、この修正により遮断されるのは侵入経路だけである。以前に設置されたリモートアクセス型トロイの木馬 (RAT) および Web シェルや、すでに窃取された認証情報が削除／無効化されるわけではない。
これらの兆候が一つでも確認されたサーバは、完全に侵害されたものとして扱う必要がある。調査において推奨されるのは、”psk_agent.sh”／”chi_down”／”zer4.php” の存在に加え、”kworker”／”fc-cache”／”chronyd” などの、正規のプロセスを装った不審なプロセス名の確認である。
さらに、Magento の暗号化キー／データベースのログイン認証情報／管理者認証情報／API トークン／SSH キーをローテーションする必要がある。また、ビーコン用ドメインへの DNS 名前解決要求や、Web サーバからの予期しない外部通信を監視することも重要である。
Zscaler が確認したのは、Citrix NetScaler に対する攻撃 でも、同じダウンロード・インフラの一部が使用されていたことである。ただし、この共通点は調査上の手掛かりに留まり、両方の攻撃が同一の攻撃者によるものであることを証明するものではない。
Magento を使用するオンラインストアは、以前から攻撃者の主要な標的となってきた。過去の攻撃キャンペーンでは、CosmicSting の脆弱性が数千のオンラインストアに影響を及ぼした 事例があり、攻撃が短期間で拡大する可能性を示している。
迅速なパッチ適用と、過去に侵害されていないことの確認が、引き続き最も有効な防御策となる。技術的な分析の詳細は、Imperva の調査ブログ で公開されている。
侵害指標 (IoCs):-
File Hashes
| File | SHA-256 | Role |
|---|---|---|
| psk_agent.sh | fc9bcdb3a442880e585d6fe4ddaec62d62af641f8ac3cceeb6a553985a7d9094 | Shell-script dropper |
| chi_down | 6dbfb04c063170af13a8151346898ebcb9c4b827fa8d16a96018419b746601a6 | Go RAT |
| t4.php / zer4.php | 1811a1d63310737e969348d16d95f80bf56f8e8896fc64eb5d6d6dc314e2a547 | PHP webshell |
Network Indicators
| Indicator | Type | Role |
|---|---|---|
| 132.243.238.178 | IP | Attack source |
| 86.107.100.105 | IP | Attack source |
| 185.18.222.13 | IP | Attack source |
| 64.204.130.9 | IP | Attack source |
| 99.84.67.186 | IP | Reported StyleSmuggler C2 |
| 185.157.160.251 | IP | ntp.timesync.to C2 |
| transfer.chinow[.]abrdns[.]com | Domain | Dropper and RAT delivery |
| transfer.onlypsk[.]abrdns[.]com | Domain | Webshell delivery |
| .0f851bdc9d.ddns.1433.eu.org | Domain | DNS and HTTP success beacon |
| ntp.timesync[.]to | Domain | NTP-shaped C2 |
| windwsecurity[.]run | Domain | RAT C2 |
注: IP アドレスとドメインは、意図しない名前解決やハイパーリンク化を防ぐため、意図的に無害化されている (例: [.])。元の表記に戻す操作は、MISP、VirusTotal、または組織の SIEM など、管理された脅威インテリジェンス・プラットフォーム内でのみ実施すること。
この記事は、EC サイト構築プラットフォームである Adobe Commerce および Magento に存在する欠陥を突いたバックドアの自動設置攻撃と、その対処法について解説するものです。公開された接続口に対する入力検証の欠落や不正なファイルの読み込み処理が背景に存在します。影響として、サーバーの持続的な遠隔操作／認証情報の漏洩／不審なプロキシ通信の媒介が生じる恐れがあります。対応策として、セキュリティ修正の迅速な適用／設置された悪意あるプロセスの除去／各種認証キーの更新が求められます。 (対象 CVE：CVE-2026-75650)
You must be logged in to post a comment.