Magentoなど953店舗に不正コード―Sansec、スキャナーを避ける攻撃を報告

Sansecは2026年10月24日、主にMagentoの通販サイトを狙う攻撃を報告しました。2025年7月以降の確認対象は953店舗。10月に使われた新しい配信元は83店舗で見つかり、そのうち60店舗は以前から同じ攻撃を受けていました。

不正コードはページの部品を保存するデータベースのcms_block内に置かれます。訪問者のブラウザを調べて自動検査を見分け、スキャナーには追加コードを返さない仕組みです。Sansecは最新の最終ペイロードをまだ取得できていないとしています。

過去の侵入にはPolyShellなどのファイルアップロード脆弱性が関わっていました。一方、コアの修正が揃った店舗にもコードの書き込みが見つかり、その店舗では以前に不正な管理者とバックドアを確認しています。更新だけで侵入後の痕跡まで消えるわけではありません。

SansecはCMS本文、不明な管理者、設置されたファイルなどの調査と、侵入口・バックドアの除去を呼びかけています。その後に認証情報を変更し、該当する修正を適用する流れです。スクリプトを消すだけで対応を終えず、攻撃者が再び書き込める状態を解消する必要があります。