Adobe corrige StyleSmuggler, un zero-day crítico ya explotado contra tiendas Commerce y Magento
Adobe corrige StyleSmuggler, un zero-day crítico ya explotado contra tiendas Commerce y Magento
Adobe confirmó explotación activa de CVE-2026-75650, una falla de ejecución remota sin autenticación con CVSS 10. Sansec observó backdoors en tiendas incluso con los parches regulares de agosto.
Qué ocurrió
Adobe publicó el 7 de septiembre un hotfix de emergencia para CVE-2026-75650, denominada StyleSmuggler por Sansec. La vulnerabilidad permite ejecutar código de forma remota y sin autenticación en Adobe Commerce y Magento Open Source; el fabricante confirmó que ya fue utilizada contra comercios.
Sansec detectó la campaña el 4 de septiembre y describió una cadena que introduce PHP en el sistema de plantillas mediante propiedades de estilo. El código envenenado puede ejecutarse cuando Magento procesa un correo de recordatorio de pago fallido, sin que una persona tenga que abrir el mensaje.
Alcance e impacto
CVE-2026-75650 tiene puntuación CVSS 10,0 y afecta a Adobe Commerce desde 2.4.4 hasta 2.4.9, incluidas las variantes 2026-aug y anteriores; también abarca versiones correspondientes de Commerce B2B y Magento Open Source. El hotfix VULN-39341 es necesario porque las actualizaciones ordinarias de julio y agosto no bloquean esta cadena.
La ejecución de código en el servidor puede exponer datos de clientes, pedidos, credenciales e integraciones de pago. Los atacantes observados desplegaron implantes persistentes y cambiaron rápidamente nombres de procesos para confundirse con servicios legítimos del sistema.
- La primera actividad confirmada comenzó el 4 de septiembre de 2026.
- Adobe asignó prioridad 1 al boletín APSB26-146.
- Mover las sesiones a Redis o a una base de datos no impide la explotación.
Acciones urgentes para operadores
Aplicar el parche detiene el vector conocido, pero una tienda que estuvo expuesta debe revisarse también en busca de persistencia. Adobe indica que la remediación completa incluye rotar los secretos que pudieron quedar accesibles.
- Descargar desde el repositorio oficial y aplicar el hotfix VULN-39341 correspondiente a la versión instalada.
- Verificar el estado del parche con Quality Patches Tool y confirmar que VULN-39341 aparezca como Applied.
- Investigar procesos y archivos PHP inesperados bajo pub/media, además de picos anómalos de correos de pago fallido.
- Rotar la clave de cifrado, credenciales de base de datos, claves SSH y de despliegue, cuentas de cron y claves API de pagos, envíos, impuestos y otras extensiones.
- Vaciar cachés y revisar accesos posteriores al momento inicial de compromiso; eliminar un único proceso malicioso no garantiza la erradicación.
Fuentes y referencias
Esta publicación es una síntesis original. Consulte las fuentes primarias para información técnica completa y actualizaciones.
- 1SecurityWeek — Explotación del zero-day en Adobe Commerce ↗prensa especializada
- 2
- 3
¿Esta amenaza puede afectar a su empresa?
ENERIT puede ayudarle a evaluar exposición, priorizar remediaciones y fortalecer su operación de ciberseguridad.
Hablar con un especialista