Vulnerabilitate critică în extensia Mirasvit Cache Warmer pentru Magento

Mirasvit Full Page Cache Warmer, o extensie populară pentru Magento 2 și Adobe Commerce, are o vulnerabilitate critică ce le permite atacatorilor să execute cod direct pe server, fără nicio autentificare. Problema este urmărită ca CVE-2026-45247 și are un scor de risc de 9.8 din 10. Sunt afectate toate versiunile anterioare celei 1.11.12.

Mecanismul atacului pornește dintr-un cookie numit CacheWarmer, folosit de extensie pentru a monitoriza starea cache-ului paginilor. Datele din acest cookie sunt deserializate fără nicio restricție asupra claselor care pot fi instanțiate, ceea ce îi permite unui atacator să trimită un obiect PHP special construit și să preia controlul execuției pe server. Combinat cu lanțuri de cod deja prezente în Magento și dependențele sale, acest tip de injecție escaladează rapid la execuție de cod de la distanță.

Vulnerabilitatea a fost dezvăluită public pe 26 mai 2026, iar atacatorii au început să o exploateze la scurt timp după aceea. Pe 3 iunie, agenția americană de securitate cibernetică CISA a adăugat-o în catalogul său de vulnerabilități cunoscute și exploatate activ, cerând agențiilor federale să aplice patch-ul în maximum trei zile.

Situația nu este deloc teoretică. Mii de magazine online rulează această extensie, iar Imperva a confirmat atacuri reale cu execuție de cod în urma exploatării active.

Dacă administrezi un magazin Magento sau Adobe Commerce, actualizează extensia la versiunea 1.11.12 sau mai nouă cât mai curând. Pentru a verifica dacă ai fost deja vizat, uită-te în logurile serverului după cereri care conțin un cookie CacheWarmer cu o valoare base64 ce începe cu Tz, Qz sau YT — acestea sunt indicatori clari ai unor tentative de exploatare. Dacă ai nevoie de ajutor în verificare sau remediere, echipa Host IQ îți stă la dispoziție.

Surse: Sansec, Imperva, CISA