Błąd w REST API sklepów Adobe Commerce i Magento pozwala bez hasła przejąć konta klientów, a przy sesjach w plikach także serwer. Po październiku 2025 ataki były masowe. Wgraj poprawkę i sprawdź serwer pod kątem tylnych furtek.
Ten alert jest dla zarządu, CTO i CFO firm prowadzących sklep internetowy na Adobe Commerce lub Magento Open Source. Werdykt: jeśli sklep nie ma poprawki producenta z września lub października 2025 roku, zainstaluj ją dziś i sprawdź serwer pod kątem tylnych furtek, bo luka nazwana SessionReaper była masowo atakowana i pozwala przejmować konta klientów, a w pewnych konfiguracjach cały sklep.
Amerykańska agencja CISA 24 października 2025 roku dopisała podatność CVE-2025-54236 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Dwa dni wcześniej firma Sansec, zajmująca się bezpieczeństwem sklepów, zaobserwowała pierwsze masowe ataki.
Błąd siedzi w REST API, czyli technicznym wejściu do sklepu, przez które rozmawiają z nim programy: integracja z magazynem, aplikacja mobilna, księgowość. Sklep nie sprawdza dostatecznie danych przychodzących tym wejściem, więc napastnik bez logowania może przejąć sesję klienta. Sansec opisuje, że przy przechowywaniu sesji w plikach ta sama luka pozwala też uruchomić własny kod na serwerze sklepu.
Adobe wydał awaryjną poprawkę 9 września 2025 roku. Termin naprawy wyznaczony przez CISA minął 14 listopada 2025 roku, ponad 10 miesięcy temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-54236 (nazwa nadana przez Sansec: SessionReaper) |
Data dodania do CISA KEV | 2025-10-24 |
Termin naprawy wg CISA | 2025-11-14 (21 dni od wpisu) |
Produkt | Adobe Commerce (wszystkie sposoby wdrożenia), Adobe Commerce B2B, Magento Open Source oraz moduł Custom Attributes Serializable |
Wersje zagrożone | Adobe Commerce: 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 i starsze. Magento Open Source: 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14 i starsze. Commerce B2B: 1.5.3-alpha2, 1.5.2-p2, 1.4.2-p7, 1.3.4-p14, 1.3.3-p15 i starsze. Moduł Custom Attributes Serializable w wersjach 0.1.0 do 0.3.0. Atak nie wymaga logowania; wykonanie kodu na serwerze według Sansec wymaga przechowywania sesji w plikach |
Wersje bezpieczne | Awaryjna poprawka VULN-32437-2-4-X (od 9 września 2025) albo wydania bezpieczeństwa z biuletynu APSB25-94 z 14 października 2025: 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 lub nowsze. Moduł Custom Attributes Serializable: 0.4.0 lub nowszy (osobna czynność). Sklepy B2B muszą dodatkowo zaktualizować moduł B2B do zgodnego wydania |
Typ podatności | Niewłaściwa walidacja danych wejściowych w REST API, prowadząca do przejęcia sesji; CWE-20 |
Ocena CVSS | Adobe (w NVD): 9.1 (CVSS 3.1, KRYTYCZNA). Atak przez sieć, bez logowania, bez udziału użytkownika, wysoki wpływ na poufność i integralność |
Sesja w sklepie działa jak numerek z szatni. Po zalogowaniu klient dostaje numerek, a sklep przy każdej kolejnej stronie sprawdza już tylko numerek, a nie hasło. Wyobraź sobie szatnię, w której obok okienka dla gości są drzwiczki dla dostawców. Szatniarz przyjmuje przez nie paczki i nie sprawdza, co w nich jest. Ktoś wkłada do paczki podrobiony numerek i od tej chwili odbiera cudze płaszcze, a w najgorszym wariancie zostawia w szatni własnego pomocnika.
REST API to te drzwiczki dla dostawców. Otwarte na internet, bo muszą być, i rzadko oglądane, bo nie ma tam nic dla ludzi. Luka pozwala przez nie podsunąć sklepowi spreparowane dane, dzięki którym napastnik jest traktowany jak zalogowany klient. Dla sklepu oznacza to zmienione adresy dostaw, wykradzione dane kupujących, a w wariancie z wykonaniem kodu także podsłuchiwanie formularza płatności.
💡 REST API to techniczne wejście do sklepu dla innych programów. Sesja to stan „zalogowany”, który sklep pamięta po zalogowaniu. Deserializacja to odtwarzanie obiektu z danych przesłanych przez sieć; gdy dane nie są sprawdzane, można podrzucić w nich złośliwą zawartość. Tylna furtka (backdoor) to ukryty plik, przez który napastnik wraca na serwer. WAF to zapora aplikacyjna, która odsiewa podejrzane zapytania, zanim dotrą do sklepu.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Program magazynowy wysyła dane przez REST API | Sklep przetwarza poprawne dane | Tak samo, nic się nie zmienia |
Obca osoba wysyła spreparowane dane do REST API | Zostaje odrzucona | Może przejąć sesję klienta bez hasła |
Konto klienta | Dostępne tylko dla właściciela | Adres dostawy, historia zamówień i dane osobowe w rękach napastnika |
Serwer sklepu z sesjami w plikach | Uruchamia tylko kod sklepu | Według Sansec może uruchomić kod napastnika i przyjąć tylną furtkę |
Formularz płatności | Dane kart trafiają do operatora płatności | Po przejęciu serwera może zostać podmieniony na skrypt kradnący dane |
źródło: Pexels, Towfiqu barbhuiyaPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na opisie masowych ataków przez Sansec. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. REST API sklepu jest dostępne z internetu i atak nie wymaga logowania, dlatego napastnicy przeszukują internet automatycznie i nie wybierają celów według wielkości.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie sklepów Magento i Adobe Commerce | Lista tysięcy celów |
2. Próba ataku | T+kilka sekund na sklep | Wysłanie spreparowanego żądania do REST API, często z plikiem udającym sesję wgranym przez formularz adresu klienta | Sklep bez poprawki przyjmuje podrobioną sesję |
3. Przejęcie | T+minuty | Przejęcie konta klienta lub, przy sesjach w plikach, uruchomienie kodu na serwerze | Dostęp do danych lub do serwera |
4. Tylna furtka | T+minuty do godzin | Wgranie ukrytych plików PHP, przez które można wracać | Trwały dostęp, także po późniejszej aktualizacji |
5. Wykorzystanie | T+dni | Kradzież danych klientów, podmiana adresów dostaw, wstrzyknięcie skryptu kradnącego dane kart | Straty finansowe i wyciek danych |
6. Wykrycie | T+tygodnie | Reklamacje klientów, zwroty płatności, sygnał od banku lub operatora płatności | Koszty obsługi incydentu i utrata zaufania |
Mogę Ci jakoś pomóc?
Sklep internetowy to jednocześnie kasa, baza klientów i wizytówka firmy. Luka nie wymaga hasła, ataki są zautomatyzowane, a Sansec szacował, że do 1 listopada 2025 roku próby ataku dotarły do 81% sklepów Magento. Mały sklep nie jest „zbyt mały, żeby ktoś się nim zainteresował”, bo nikt nie interesuje się nim osobno.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie sklepu na czas czyszczenia serwera, wstrzymana sprzedaż, praca programistów przy zgodności modułów z poprawką | Godziny do dni | 20 tys. do 200 tys. PLN (utracona sprzedaż, prace techniczne) |
Bezpieczeństwo danych | Wyciek danych klientów (adresy, telefony, historia zakupów), możliwa kradzież danych kart | Dni do tygodni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, audyt zgodności płatności) |
Finansowy | Podwójne wysyłki, zwroty płatności, możliwe kary lub blokada ze strony operatora płatności | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania kupujących, negatywne opinie, spadek konwersji | Miesiące | 30 tys. do 400 tys. PLN (utracona sprzedaż, działania marketingowe) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i powiadomienia klientów przy wysokim ryzyku; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla sklepu Magento lub Adobe Commerce bez poprawki
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy braku poprawki ryzyko jest krytyczne, bo atak nie wymaga hasła, jest zautomatyzowany i masowy, a skutkiem może być przejęcie serwera sklepu; sklep z poprawką wgraną dopiero po 22 października 2025 nadal powinien sprawdzić, czy nie ma na serwerze tylnych furtek.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić dokładną wersję sklepu z oznaczeniem poprawki (-pX) i czy wgrano poprawkę VULN-32437 lub wydanie z APSB25-94 | Dziś | Programista lub agencja utrzymująca sklep |
2 | 🔴 NATYCHMIAST | Jeśli poprawki nie ma: wgrać ją po teście na kopii sklepu, a do tego czasu włączyć zaporę aplikacyjną (WAF) | Dziś | Programista / administrator serwera |
3 | 🔴 NATYCHMIAST | Sprawdzić wersję modułu Custom Attributes Serializable i podnieść do 0.4.0 lub nowszej | Dziś | Programista |
4 | 🟠 PILNIE | Przeskanować serwer pod kątem tylnych furtek i podejrzanych plików sesji, zwłaszcza w katalogu z plikami adresów klientów | Do 3 dni | Administrator serwera / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Jeśli wykryto ślady włamania: zmienić klucz szyfrujący sklepu, hasła administratorów, usunąć nieznane integracje API i unieważnić sesje klientów | Do 3 dni | Programista / CTO |
6 | 🟡 WAŻNIE | Sprawdzić zgodność własnych modułów i integracji z poprawką (poprawka zmienia działanie REST API) | Do 14 dni | Programista |
7 | 🟡 WAŻNIE | Ustalić stały, miesięczny cykl aktualizacji bezpieczeństwa sklepu zamiast kwartalnego | Do 30 dni | CTO |
Adobe wydał poprawkę dla wszystkich wspieranych gałęzi, więc aktualizacja jest dostępna i trzeba ją wgrać. Jeśli sklep działa na wersji bez wsparcia lub poprawka psuje własne moduły, poniższe miary kupują czas. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zapora aplikacyjna (WAF) z regułami na tę lukę | Średnia do wysokiej: Sansec podaje, że popularne zapory blokowały część, ale nie wszystkie warianty ataku | Łatwa do średniej |
Blokada zapisu plików w katalogu z plikami adresów klientów (pub/media/customer_address) | Średnia: utrudnia wgranie furtki, nie usuwa luki w REST API | Średnia |
Przechowywanie sesji w Redis lub bazie danych zamiast w plikach | Średnia: według Sansec utrudnia wykonanie kodu, ale nie przejęcie kont | Średnia |
Regularne skanowanie plików sklepu pod kątem złośliwego kodu | Niska jako ochrona, ważna do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
REST API sklepu | Przyjmuje spreparowane dane i podrobione sesje | Poprawka sprawdza dane wejściowe |
Moduł Custom Attributes Serializable | Wersja 0.1.0 do 0.3.0 | Wersja 0.4.0 lub nowsza |
Serwer sklepu | Możliwe tylne furtki z okresu masowych ataków | Przeskanowany, wyczyszczony, klucze i hasła zmienione |
Konta klientów | Możliwe przejęte sesje | Sesje unieważnione, klienci poinformowani, jeśli było to konieczne |
Zgodność z terminem CISA | Zaległość od 14 listopada 2025 (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Adobe początkowo pisał o braku dowodów ataków; według Sansec 24 października 2025 potwierdził nadużycia i podniósł priorytet poprawki do najwyższego |
Grupy przestępcze | Brak publicznych informacji o nazwach grup; Sansec opisuje zautomatyzowane ataki z kilkudziesięciu adresów IP |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.1 KRYTYCZNA (CVSS 3.1, Adobe) |
PoC dostępny publicznie? | TAK: według Sansec masowe ataki ruszyły po publikacji analizy technicznej błędu przez Assetnote 22 października 2025; NVD odsyła też do opisu wykorzystania (obecnie niedostępny link) |
Liczba atakowanych firm | Szacunki Sansec: do 26 października próby dotarły do 49% sklepów Magento, a 16 do 18% mogło mieć wgrane tylne furtki; do 1 listopada 2025 próby dotarły do 81% sklepów |
Tempo wdrażania poprawek | Według Sansec 10 dni po publikacji poprawkę miał mniej niż co trzeci sklep, a 23 października 38% sklepów |
Prognoza EPSS | Skok z około 0,4% (20 października 2025) do około 94,5%, wyżej niż 99,8% znanych podatności (wg analizy źródłowej) |
Ta luka pokazuje, jak szybko zmienia się ryzyko po publikacji szczegółów technicznych:
Mogę Ci jakoś pomóc?
EPSS dla CVE-2025-54236 (prawdopodobieństwo próby ataku w 30 dni)
2025-10-20 0.4% ░░░░░░░░░░░░░░░░░░░░ „nikt tego nie atakuje”
2025-10-22 analiza Assetnote, pierwsze masowe ataki
2025-10-24 wpis do CISA KEV
obecnie 94.5% ███████████████████░ ataki niemal pewne 2025-08-19 Sansec dodaje ochronę przed luką do swojej zapory
2025-09-09 Adobe publikuje awaryjną poprawkę (APSB25-88), publikacja CVE w NVD
2025-10-14 Adobe wydaje wydania bezpieczeństwa z poprawką (APSB25-94)
2025-10-22 Publikacja analizy technicznej i pierwsze masowe ataki (Sansec)
2025-10-24 CISA dodaje lukę do katalogu KEV
2025-11-01 Próby ataku dotarły do 81% sklepów Magento (szacunek Sansec)
2025-11-14 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 10 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Instrukcja Adobe z poprawką i aktualizacją modułu: experienceleague.adobe.com ka-27397 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-54236 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, na jakiej platformie działa sklep i kto go utrzymuje (dział IT, agencja, freelancer) | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji sklepu, dacie wgrania poprawki i wersji modułu Custom Attributes Serializable | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastowe wgranie poprawki lub włączenie zapory aplikacyjnej | CTO | DZISIAJ |
4 | Zlecić skanowanie serwera pod kątem tylnych furtek i nieznanych integracji API | CTO | DO JUTRA |
5 | Sprawdzić u operatora płatności, czy nie było zgłoszeń podejrzanych transakcji ze sklepu | CFO | DO JUTRA |
6 | Zarezerwować budżet na czyszczenie serwera i ewentualną obsługę naruszenia danych | CFO | DO JUTRA |
7 | Sprawdzić w umowie z agencją lub freelancerem, kto odpowiada za aktualizacje bezpieczeństwa i w jakim czasie | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest dokładna wersja sklepu z oznaczeniem poprawki (np. 2.4.7-pX)? | [wersja] | 🔴 |
2 | Czy i kiedy wgrano poprawkę VULN-32437 lub wydanie z biuletynu APSB25-94? | TAK / NIE, [data] | 🔴 |
3 | W jakiej wersji jest moduł Custom Attributes Serializable (jeśli jest zainstalowany)? | [wersja] / nie jest zainstalowany | 🔴 |
4 | Czy sesje są przechowywane w plikach, Redis czy bazie danych? | [pliki / Redis / baza] | 🟠 |
5 | Czy serwer przeskanowano pod kątem tylnych furtek i podejrzanych plików sesji po 22 października 2025? | TAK / NIE, [data i wynik] | 🟠 |
6 | Czy lista integracji API w panelu zawiera tylko znane nam integracje? | TAK / NIE | 🟠 |
7 | Czy sklep jest chroniony zaporą aplikacyjną (WAF) i jaką? | TAK / NIE, [nazwa] | 🟡 |
CVE-2025-54236, czyli SessionReaper, pozwala bez hasła przejmować konta klientów w sklepach Adobe Commerce i Magento, a w konfiguracji z sesjami w plikach także serwer sklepu. Luka była masowo atakowana od października 2025 roku, więc sklep bez poprawki trzeba zaktualizować dziś, a sklep zaktualizowany z opóźnieniem powinien sprawdzić serwer pod kątem tylnych furtek.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.