Por Canuto  

Adobe corrigió una vulnerabilidad crítica de Magento que ya estaba siendo explotada para instalar puertas traseras en servidores. El fallo, identificado como CVE-2026-75650 y bautizado StyleSmuggler, afecta varias versiones de Adobe Commerce, Adobe Commerce B2B y Magento Open Source, mientras investigadores reportan herramientas maliciosas asociadas a los ataques.
***

  • Adobe publicó un hotfix de máxima prioridad para CVE-2026-75650, una falla con ejecución de código arbitrario y explotación activa.
  • Sansec observó ataques desde el 4 de septiembre para instalar una puerta trasera cuyo servidor de control imitaba a un servicio NTP.
  • Un segundo atacante desplegó una web shell PHP de 485 bytes, por lo que Adobe recomienda rotar contraseñas, tokens, claves y credenciales.

Adobe publicó una corrección de emergencia para CVE-2026-75650, una vulnerabilidad crítica de Magento que ya estaba siendo explotada contra servidores de comercio electrónico. El fallo, bautizado StyleSmuggler, permite la ejecución de código arbitrario y afecta a varias ramas de Adobe Commerce, Adobe Commerce B2B y Magento Open Source, por lo que la compañía asignó máxima prioridad a su actualización.

La alerta adquiere mayor gravedad porque los atacantes no se limitaron a probar el defecto: investigadores observaron su uso para instalar puertas traseras y web shells en sitios vulnerables. La recomendación central para los administradores consiste en aplicar de inmediato el hotfix VULN-39341, revisar posibles indicios de compromiso y renovar las credenciales que pudieron quedar expuestas. La vulnerabilidad también aparece en el catálogo de vulnerabilidades explotadas conocidas de CISA.

Una falla explotada en tiendas Magento

La firma especializada en seguridad para comercio electrónico Sansec identificó actividad de explotación desde al menos el 4 de septiembre, antes de que Adobe distribuyera su corrección el 7 de septiembre. Según sus observaciones, los atacantes utilizaron CVE-2026-75650 para introducir una puerta trasera en servidores que alojaban tiendas y aplicaciones basadas en Magento.

El mecanismo de control empleado por esa puerta trasera buscaba ocultarse entre el tráfico habitual de la infraestructura, ya que disfrazaba el host de comando y control como un servidor normal del Protocolo de Tiempo de Red, conocido como NTP. Ese camuflaje puede complicar una revisión superficial de las conexiones, aunque el malware deja otras señales distintivas en los sistemas comprometidos.

Entre esos indicios aparecen correos electrónicos con el asunto “Payment Transaction Failed Reminder”, una señal que los administradores pueden utilizar para iniciar una investigación forense. La presencia de ese tipo de mensajes no demuestra por sí sola que un servidor haya sido vulnerado, pero, combinada con cambios inesperados en archivos, procesos o conexiones, puede apuntar a una intrusión.

Adobe describió CVE-2026-75650 como una vulnerabilidad crítica capaz de conducir a la ejecución de código arbitrario y confirmó que conoce su explotación activa. La empresa recomendó instalar el hotfix VULN-39341 sin demora, una instrucción especialmente relevante para negocios que procesan pagos, gestionan cuentas de clientes o almacenan secretos de integración en sus instalaciones.

Versiones afectadas y alcance del parche

El problema afecta a Adobe Commerce desde la versión 2.4.4 hasta la 2.4.9, incluidas las ediciones de agosto de 2026 y las anteriores dentro de cada rama. También alcanza a Adobe Commerce B2B entre las versiones 1.3.3 y 1.5.3, con el mismo criterio de cobertura para las versiones de agosto y sus precedentes.

En el caso de Magento Open Source, el rango comprometido va desde la versión 2.4.6 hasta la 2.4.9, incluidas las versiones de agosto de 2026 y las anteriores de cada línea. La amplitud de los rangos obliga a los operadores a comprobar con precisión la edición instalada, porque identificar solo el nombre del producto no basta para saber si una instancia requiere atención.

El fabricante advirtió que el hotfix fue probado únicamente con las versiones de agosto de 2026 correspondientes a las ramas afectadas. Aunque podría funcionar sobre otras versiones, Adobe no confirmó su compatibilidad, de modo que los administradores deben evaluar cuidadosamente sus procedimientos de respaldo, prueba y despliegue antes de modificar sistemas críticos.

La diferencia entre una actualización de seguridad convencional y este escenario está en la explotación activa, que reduce el margen para esperar una ventana rutinaria de mantenimiento. En una tienda en línea, cualquier demora puede ampliar el riesgo de manipulación del catálogo, abuso de cuentas administrativas, extracción de secretos o instalación de código adicional, aunque la información disponible no atribuye esas consecuencias a todos los casos observados.

Puertas traseras, web shells y respuesta operativa

En una actualización de su análisis, Sansec informó que un segundo atacante, utilizando herramientas no relacionadas, también explotó CVE-2026-75650. Este actor desplegó una web shell PHP de apenas 485 bytes, un archivo pequeño diseñado para ofrecer control remoto sobre el servidor mediante solicitudes especialmente construidas.

La web shell recopila detalles básicos del servidor y comprueba si la ubicación pub/media permite escritura, una condición que puede facilitar la persistencia o el almacenamiento de archivos maliciosos. Después, exfiltra los datos mediante solicitudes dirigidas a un subdominio de oast.site, un comportamiento asociado habitualmente con pruebas de seguridad que utilizan la herramienta de código abierto Interactsh.

Tras instalar el hotfix, Adobe recomienda activar el modo de mantenimiento y suspender temporalmente los trabajos cron, con el objetivo de reducir la actividad de la aplicación mientras se completa la respuesta. Los administradores también deben rotar las contraseñas de administrador, los tokens de integración de GraphQL, los secretos de clientes OAuth y las credenciales de las API utilizadas por las pasarelas de pago.

La lista de secretos no termina allí: la compañía incluye las credenciales de base de datos, las claves SSH y las claves de API, porque una intrusión pudo haber permitido su lectura o uso indebido. Una vez concluida la rotación, la secuencia recomendada consiste en vaciar la caché, restablecer la ejecución de cron y desactivar el modo de mantenimiento.

Qué deben revisar los administradores

La primera tarea consiste en determinar si la instalación utiliza una versión incluida en los rangos afectados y confirmar si corresponde a Adobe Commerce, Adobe Commerce B2B o Magento Open Source. Después, el equipo responsable debe preservar registros relevantes antes de aplicar cambios que puedan borrar evidencias, especialmente en servidores donde se hayan detectado archivos inesperados o conexiones hacia dominios externos.

La revisión debe prestar atención a procesos, tareas programadas, modificaciones recientes en directorios de la aplicación y solicitudes anómalas relacionadas con pub/media. También conviene buscar los indicios descritos por los investigadores, como los mensajes de “Payment Transaction Failed Reminder”, conexiones que aparenten dirigirse a infraestructura NTP y tráfico hacia subdominios de oast.site.

La rotación de secretos debe realizarse de forma coordinada, ya que cambiar solo la contraseña del administrador no invalida necesariamente tokens, claves SSH, credenciales de bases de datos ni accesos de proveedores de pago. Además, los equipos deben revisar qué integraciones reutilizan esas credenciales y revocar cualquier autorización que ya no resulte necesaria.

El aumento de la explotación convierte a StyleSmuggler en un problema operativo inmediato para las tiendas que mantienen sus servidores expuestos. Mientras Adobe no confirme compatibilidad universal del hotfix con todas las versiones, las organizaciones deberán combinar la aplicación de la corrección o las mitigaciones disponibles con una investigación de compromiso y un seguimiento continuo de sus sistemas.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados