Die Schwachstelle PolyShell nutzt eine Besonderheit in Magentos REST-API aus, die Datei-Uploads als Teil von benutzerdefinierten Produktoptionen akzeptiert. Wenn ein Produkt eine Datei-Option vom Typ ‘file’ besitzt, verarbeitet Magento ein eingebettetes file_info-Objekt, das base64-codierte Dateidaten, einen MIME-Type und einen Dateinamen enthält. Diese Dateien werden dann im Verzeichnis pub/media/custom_options/quote/ auf dem Server abgelegt.
Die Namensgebung ‘PolyShell’ bezieht sich auf die Nutzung sogenannter Polyglot-Dateien — Dateien, die gleichzeitig als Bild und als ausführbares Skript fungieren können. Je nach Konfiguration des Webservers kann diese Lücke entweder zu Remote Code Execution (RCE) oder zu Account-Übernahmen durch gespeicherte XSS-Angriffe führen. Sansec hat untersucht, wie viele bekannte Magento- und Adobe Commerce-Shops betroffen sind und festgestellt, dass viele Shops Dateien im Upload-Verzeichnis öffentlich zugänglich machen.
Zum Zeitpunkt der Veröffentlichung gibt es noch keine Hinweise darauf, dass die Lücke aktiv ausgenutzt wird — aber das ist kein Grund zur Entwarnung. Sansec betont, dass die Exploit-Methode bereits zirkuliert und automatisierte Angriffe in Kürze zu erwarten sind. Adobe bietet zwar eine Beispiel-Webserver-Konfiguration an, die den Schaden begrenzen könnte, doch viele Shops verlassen sich auf Standard-Setups ihrer Hosting-Provider, die diese Schutzmaßnahmen möglicherweise nicht implementiert haben.
Für Shop-Administratoren empfehlen Experten dringende Maßnahmen, bis Adobe einen Patch für produktive Versionen bereitstellt. BleepingComputer hat Adobe kontaktiert, um einen Zeitplan für die Veröffentlichung zu erfragen — eine Antwort steht bislang aus. Diese Situation unterstreicht ein grundlegendes Problem im E-Commerce-Sektor: Während Sicherheitsupdates entwickelt werden, bleiben Millionen von Shops weltweit ungeschützt. Deutsche Unternehmen sollten ihre Magento-Installationen sofort überprüfen und mit ihren Hosting-Providern Kontakt aufnehmen, um temporäre Sicherheitsmaßnahmen einzuleiten.