Hoạt động này được phát hiện bởi công ty bảo mật thương mại điện tử Sansec (Hà Lan), các nhà nghiên cứu trước đây đã mô tả SessionReaper là một trong những lỗi bảo mật nghiêm trọng nhất trong lịch sử của sản phẩm.

Adobe đã cảnh báo về CVE-2025-54236 vào ngày 8/9, cho biết đây là lỗ hổng xác thực đầu vào không phù hợp ảnh hưởng đến các phiên bản Commerce 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 (và các phiên bản trước đó).

Kẻ tấn công khai thác thành công lỗ hổng này có thể kiểm soát các phiên tài khoản mà không cần bất kỳ sự tương tác nào của người dùng. Adobe giải thích: “Các tin tặc có thể chiếm đoạt tài khoản khách hàng trong Adobe Commerce thông qua Commerce REST API”.

Sansec trước đây đã tuyên bố rằng, việc khai thác thành công có thể phụ thuộc vào việc lưu trữ dữ liệu phiên trên hệ thống tệp, cấu hình mặc định được hầu hết các cửa hàng (store) sử dụng và bản sửa lỗi bị rò rỉ từ nhà cung cấp có thể cung cấp manh mối về cách thức tận dụng nó.

Khoảng sáu tuần (từ ngày 9/9/2025) sau khi bản vá khẩn cấp cho SessionReaper được phát hành, Sansec đã xác nhận việc khai thác đang diễn ra trên thực tế. Các nhà nghiên cứu cho biết: “Sansec Shield đã phát hiện và chặn các cuộc tấn công thực tế đầu tiên vào hôm nay, đây là tin không vui đối với hàng nghìn cửa hàng vẫn chưa được vá lỗi".

Chỉ riêng ngày 22/10, Sansec đã ngăn chặn hơn 250 nỗ lực khai thác SessionReaper, hầu hết các cuộc tấn công bắt nguồn từ năm địa chỉ IP sau: 34[.]227[.]25[.]4, 44[.]212[.]43[.]34, 54[.]205[.]171[.]35, 155[.]117[.]84[.]134 và 159[.]89[.]12[.]166. Các cuộc tấn công cho đến nay bao gồm PHP webshell hoặc phpinfo để kiểm tra cài đặt cấu hình và tìm kiếm các biến được xác định trước trên hệ thống.

Trong một diễn biến liên quan, các nhà nghiên cứu tại Searchlight Cyber ​​đã công bố một phân tích kỹ thuật chi tiết về CVE-2025-54236, có thể dẫn đến sự gia tăng các nỗ lực khai thác.

Theo Sansec, 62% cửa hàng Magento trực tuyến vẫn chưa cài đặt bản cập nhật bảo mật của Adobe và vẫn dễ bị tấn công SessionReaper. Quản trị viên trang web được khuyến cáo nên áp dụng bản vá hoặc các biện pháp giảm thiểu được Adobe khuyến nghị càng sớm càng tốt.