Sekelompok pelaku ancaman siber yang belum teridentifikasi telah berhasil menyusupi sebanyak 953 toko daring, yang mayoritas di antaranya beroperasi dengan platform Magento, sebagai bagian dari operasi jangka panjang yang terendus aktif sejak Juli 2025.
Berdasarkan laporan dari perusahaan keamanan niaga elektronik asal Belanda, Sansec, aksi peretasan ini dirancang guna menyisipkan serpihan kode ringkas ke dalam laman gerai digital yang, saat dikunjungi oleh pembeli tanpa rasa curiga, akan menyajikan kode pemuat JavaScript berbahaya melalui blok CMS Magento.
"Saat Anda berkunjung, kode tersebut memerintahkan peramban Anda untuk meminta arahan selanjutnya kepada server milik kelompok penyerang," ungkap Sansec. "Server tersebut terlebih dahulu memverifikasi apakah Anda pengunjung nyata atau bot pemindai keamanan, sehingga pemindai tidak menerima apa pun."
Setidaknya ada lima domain terpisah yang terpantau sepanjang waktu memiliki keterkaitan erat dengan operasi peretasan massal ini –
Sansec menyatakan pihaknya mendapati nama domain deepveindrilling[.]com di dalam blok CMS milik 83 platform belanja daring sejak domain tersebut resmi didaftarkan pada tanggal 6 Oktober 2026.
Domain pemuat JavaScript terkini tersebut sengaja ditempatkan di balik layanan Cloudflare dan secara eksklusif hanya membalas permintaan skrip yang berasal dari pengunjung orisinal toko yang terinfeksi. Komponen pemuat ini disusupkan langsung ke dalam tabel basis data cms_block milik Magento, yang normalnya berfungsi merender berbagai materi konten statis ke laman depan toko.
Niat utama dari serangan peretasan ini adalah mengeksekusi instruksi kode yang sepenuhnya dikuasai penyerang ketika blok CMS selesai dirender pasca pelanggan mengakses situs e-commerce yang telah dikompromikan.
Meskipun Sansec tidak merinci secara pasti apakah pelaku ancaman mengubah blok CMS yang sudah ada (semacam tajuk, catatan kaki, atau spanduk promosi) atau membuat blok anyar, peretas leluasa menerapkan metode mana pun demi menjalankan skrip pemuat tersebut.
Terdapat dua varian berbeda dari pemuat yang berhasil dideteksi. Pada model pertama, berkas JavaScript eksternal yang diunduh dari domain kepunyaan peretas menyimpan muatan berbahaya di dalam localStorage milik peramban. Kondisi ini membuat kode tersimpan tersebut terus dieksekusi ulang pada kunjungan berikutnya, bahkan seandainya domain eksternal penyerang sudah tidak dapat diakses lagi.
Model kedua memperluas mekanisme ini dengan menyertakan pemeriksaan sidik jari digital peramban untuk menyaring keberadaan bot serta alat pemindai keamanan, sembari memastikan hanya pembeli riil yang terpapar oleh kode jahat itu. Bentuk pasti dari muatan pamungkas serangan hingga saat ini masih belum diketahui.
Fase awal dari kampanye siber ini juga kedapatan memanfaatkan Keitaro, sebuah platform pelacak periklanan dan analitik, sebagai sistem distribusi lalu lintas (TDS) guna mengarahkan pengunjung ke respons berbeda – misalnya membagikan muatan, memicu pengalihan, atau tidak memberikan respons apa pun – tergantung profil spesifik pengunjung.
Sansec menyebutkan bahwa pengiriman permintaan skrip menuju additionalver[.]com oleh pengunjung desktop Windows membuahkan balasan "QWE=123;," yang praktis tak melakukan apa pun selain menanamkan kuki pelacak berdurasi 24 jam. Sebaliknya, domain deepveindrilling[.]com membuang komponen Keitaro dan menanamkan logika penyaring bot langsung ke dalam modul pemuat itu sendiri.
Mengenai celah masuk pertama, sekitar 471 gerai Magento diperkirakan telah disuntik skrip pemuat lewat kerentanan PolyShell (dikenal sebagai CVE-2026-48356). Sebanyak 102 gerai lainnya mendapati pengunggahan berkas tak dikenal akibat kerentanan PolyShell maupun SessionReaper (dikenal sebagai CVE-2025-54236).
"Satu toko pada Magento 2.4.7-p1 memiliki webshell PolyShell yang disamarkan sebagai gambar berformat PNG di dalam pub/media/custom_options/quote/, tepat di sebelah pemuat additionalver.com pada sebuah blok CMS," jelas Sansec. "Blok tersebut beralih ke deepveindrilling[.]com pada 7 Oktober. Toko ini masih belum menerapkan APSB26-73, perbaikan resmi PolyShell dari Adobe untuk lini rilis yang didukung."
Dalam kasus lain, sebuah gerai niaga online yang menggunakan Magento 2.4.7-p10 tanpa riwayat keterlambatan tambalan sistem inti berhasil ditembus peretas demi menambahkan akun administrator siluman, yang lantas digunakan menyuntikkan instruksi berbahaya.
Para pengelola gerai sangat dianjurkan untuk memeriksa situs web mereka dari akun mencurigakan serta memantau keberadaan blok CMS ganjil di dalam tabel cms_block dan cms_page. Disarankan pula memperbarui platform secara berkala dan menerapkan kata sandi yang rumit.
Pengungkapan kasus ini mencuat bertepatan dengan kemunculan ancaman PHP2Shell, sepasang kerentanan kritis pada PHP (CVE-2026-109618 dan CVE-2026-109619) yang menuai rentetan upaya eksploitasi besar-besaran tak lama setelah dibeberkan pekan lalu.
Kendati demikian, peneliti Perplexity Adel Karimi telah merekam apa yang dinilai sebagai bukti pertama keberhasilan eksploitasi aktif di dunia nyata atas kerentanan tersebut guna menjalankan instruksi perintah shell di server perangkap. Perintah-perintah itu terpantau memakai wget, curl, atau PHP CLI demi menyedot muatan tambahan dari server jarak jauh ("162.35.99[.]94:80"). Sejauh ini, artefak tahap kedua yang diunduh belum ditemukan.
