🛒💥 ช่องโหว่ร้ายแรงใน Magento (CVE-2025-54236) ถูกใช้โจมตีจริงแล้ว — เสี่ยงถูกยึด session และรันโค้ดโดยไม่ต้องล็อกอิน ช่องโหว่ CVE-2025-54236 หรือชื่อเล่น “SessionReaper” เป็นช่องโหว่ระดับวิกฤตใน Magento (Adobe Commerce) ที่เปิดให้ผู้โจมตีสามารถ ยึด session ของผู้ใช้ และในบางกรณี รันโค้ด PHP บนเซิร์ฟเวอร์ได้โดยไม่ต้องยืนยันตัวตน ซึ่งขณะนี้มีการโจมตีจริงเกิดขึ้นแล้วในวงกว้าง ✅ ช่องโหว่นี้เกิดจากการตรวจสอบ input ไม่เหมาะสมในระบบจัดการ session ➡️ สามารถใช้ช่องโหว่นี้เพื่อ takeover session ของผู้ใช้ที่ล็อกอินอยู่ ➡️ หาก chain กับช่องโหว่อื่น จะสามารถรันโค้ด PHP ได้โดยไม่ต้องล็อกอิน ✅ มีการโจมตีจริงแล้วกว่า 300 ครั้งใน 48 ชั่วโมงแรก ➡️ Akamai ตรวจพบการโจมตีจาก IP ต่าง ๆ อย่างน้อย 11 แห่ง ➡️ เป้าหมายคือร้านค้า Magento ที่เปิด public endpoint ✅ มี PoC (proof-of-concept) เผยแพร่สู่สาธารณะแล้ว ➡️ ทำให้เกิดการสแกนและโจมตีอัตโนมัติในวงกว้าง ➡️ payload ที่ใช้รวมถึง phpinfo probes และ web shells ✅ ผลกระทบของการโจมตี ➡️ ขโมยข้อมูลลูกค้าและบัตรเครดิต ➡️ สร้างบัญชีแอดมินปลอม ➡️ ใช้เซิร์ฟเวอร์ Magento เป็นฐานโจมตีระบบอื่น ✅ Magento ได้ออกแพตช์แล้วตั้งแต่ 9 กันยายน 2025 ➡️ แต่ยังมีร้านค้ากว่า 60% ที่ยังไม่ได้อัปเดต https://securityonline.info/critical-magento-flaw-cve-2025-54236-actively-exploited-for-session-hijacking-and-unauthenticated-rce/