Adobe ha publicado parches de seguridad de emergencia para corregir una vulnerabilidad crítica en Adobe Commerce y Magento Open Source que ya está siendo explotada activamente por ciberdelincuentes. Identificada como CVE-2026-75650 y con una puntuación CVSS de 10.0, la falla ha sido bautizada como StyleSmuggler por la empresa de seguridad Sansec.
El descubrimiento adquiere especial relevancia para las empresas que utilizan Magento como plataforma de comercio electrónico, debido a que la vulnerabilidad puede permitir la ejecución arbitraria de código y comprometer servidores sin necesidad de una autenticación previa.
Según la información divulgada por Adobe, la compañía tiene conocimiento de ataques reales dirigidos contra comerciantes que utilizan Adobe Commerce. Por ello, la recomendación principal para los administradores es aplicar inmediatamente el parche correspondiente, actualizar las plataformas afectadas y rotar las claves de cifrado.
¿Qué es la vulnerabilidad CVE-2026-75650?
La vulnerabilidad CVE-2026-75650, conocida como StyleSmuggler, afecta al sistema de plantillas utilizado por Magento y Adobe Commerce. El problema puede ser aprovechado para introducir código PHP malicioso dentro del mecanismo utilizado para generar determinadas plantillas de correo electrónico.
En concreto, la cadena de ataque abusa del procesamiento de plantillas de Magento para generar un correo asociado al “Recordatorio de Transacción Fallida de Pago”. Bajo determinadas condiciones, este proceso puede terminar desencadenando la ejecución de código arbitrario en el servidor.
La gravedad de la vulnerabilidad queda reflejada en su puntuación CVSS 10.0, el máximo nivel dentro de esta escala. El riesgo aumenta considerablemente debido a que la explotación observada no requiere que el atacante disponga previamente de credenciales legítimas.
En términos prácticos, un atacante que consiga explotar correctamente StyleSmuggler podría utilizar el servidor comprometido como punto de entrada para instalar código malicioso, establecer persistencia, robar información o realizar nuevas acciones contra la infraestructura de una tienda en línea.
StyleSmuggler ya está siendo explotado
Uno de los aspectos más preocupantes es que no se trata únicamente de una vulnerabilidad teórica. Sansec identificó indicios de explotación activa de CVE-2026-75650 desde el 4 de septiembre de 2026.
Adobe confirmó posteriormente que la vulnerabilidad está siendo utilizada contra comerciantes que operan con sus productos de comercio electrónico.
La explotación observada demuestra que los atacantes están intentando aprovechar directamente la infraestructura de Magento para ejecutar código en servidores vulnerables. Esto convierte la aplicación inmediata de los parches en una medida prioritaria para cualquier organización que mantenga una instalación afectada expuesta a Internet.
Ataques permiten instalar puertas traseras y shells web
La investigación de seguridad también ha revelado diferentes formas de explotación asociadas con StyleSmuggler.
De acuerdo con los datos proporcionados, algunos atacantes han utilizado CVE-2026-75650 para desplegar una puerta trasera para Linux desarrollada en Rust. Este tipo de malware puede establecer comunicación con infraestructura externa y esperar nuevas instrucciones de los operadores maliciosos.
Otra modalidad observada consiste en utilizar la vulnerabilidad para instalar un shell web, permitiendo ejecutar código PHP arbitrario directamente sobre el servidor comprometido.
La presencia de un web shell representa un riesgo especialmente elevado para una tienda de comercio electrónico. Una vez instalado, el atacante puede disponer de una herramienta persistente para ejecutar comandos, modificar archivos, recopilar información o preparar nuevas etapas del ataque.
Por este motivo, aplicar el parche no debería considerarse suficiente si existe la posibilidad de que el servidor ya haya sido comprometido. Los administradores deben complementar la actualización con una revisión de integridad, análisis de registros y búsqueda de indicadores de compromiso.
Versiones de Adobe Commerce afectadas
Adobe ha indicado que las siguientes ramas de Adobe Commerce se encuentran afectadas cuando utilizan las versiones señaladas o anteriores:
- Adobe Commerce 2.4.9-2026-agosto y anteriores.
- Adobe Commerce 2.4.8-2026-agosto y anteriores.
- Adobe Commerce 2.4.7-2026-agosto y anteriores.
- Adobe Commerce 2.4.6-2026-agosto y anteriores.
- Adobe Commerce 2.4.5-2026-agosto y anteriores.
- Adobe Commerce 2.4.4-2026-agosto y anteriores.
También se encuentran dentro del alcance determinadas versiones de Adobe Commerce B2B:
- 1.5.3-2026-agosto y anteriores.
- 1.5.2-2026-agosto y anteriores.
- 1.4.2-2026-agosto y anteriores.
- 1.3.4-2026-agosto y anteriores.
- 1.3.3-2026-agosto y anteriores.
En el caso de Magento Open Source, las versiones afectadas incluyen:
- 2.4.9-2026-agosto y anteriores.
- 2.4.8-2026-agosto y anteriores.
- 2.4.7-2026-agosto y anteriores.
- 2.4.6-2026-agosto y anteriores.
Las organizaciones deben comprobar exactamente qué versión tienen instalada antes de aplicar el parche correspondiente.
Adobe recomienda aplicar VULN-39341
Para solucionar el problema, Adobe ha puesto a disposición un hotfix identificado como VULN-39341, con diferentes versiones del parche dependiendo de la plataforma afectada.
La recomendación de Adobe contempla dos acciones fundamentales: aplicar el parche VULN-39341 correspondiente a la versión instalada y rotar las claves de cifrado.
La rotación de las claves es particularmente importante en escenarios donde pueda existir sospecha de compromiso. Si un atacante hubiera conseguido acceder a información sensible o manipular determinados componentes de la instalación, mantener las claves existentes podría incrementar el riesgo posterior a la aplicación del parche.
Los administradores de Magento deberían, por tanto, tratar la actualización como una intervención de seguridad prioritaria y no como una actualización rutinaria.
Primeros indicios de ataques automatizados
La actividad detectada alrededor de CVE-2026-75650 también demuestra que los atacantes están comenzando a buscar instalaciones vulnerables.
Datos de telemetría de Previdian registraron 12 intentos de explotación contra sus honeypots desde el 7 de septiembre de 2026. Los intentos procedieron de dos direcciones IP únicas asociadas con China y Rumanía.
Aunque los ataques observados contra esos honeypots no tuvieron éxito, su existencia confirma que la vulnerabilidad ya está despertando interés entre actores maliciosos.
Este comportamiento es habitual después de que una vulnerabilidad crítica se haga pública: una vez que los detalles técnicos comienzan a circular, pueden aparecer campañas automatizadas destinadas a identificar servidores vulnerables y explotarlos rápidamente.
El riesgo para las tiendas online es elevado
Magento y Adobe Commerce gestionan información crítica para los negocios digitales, incluyendo datos relacionados con clientes, pedidos, productos, pagos y operaciones administrativas. Por esta razón, una vulnerabilidad que permita ejecución remota o arbitraria de código puede tener consecuencias mucho mayores que la simple interrupción de un sitio web.
Una intrusión podría permitir a los atacantes modificar aplicaciones, alterar páginas de comercio electrónico, instalar malware, robar información o mantener acceso persistente al servidor.
Además, una tienda comprometida puede convertirse en un objetivo para ataques posteriores contra clientes. Por ejemplo, un atacante con control suficiente sobre el entorno podría intentar manipular componentes del sitio para distribuir contenido malicioso o capturar información introducida por los visitantes.
¿Qué deben hacer los administradores de Magento?
Ante la explotación activa de CVE-2026-75650, las organizaciones que utilizan Adobe Commerce o Magento Open Source deberían actuar con rapidez.
La primera medida consiste en identificar todas las instalaciones afectadas y comprobar sus versiones. Posteriormente, deben aplicar el parche VULN-39341 correspondiente siguiendo las indicaciones de Adobe.
También es recomendable:
- Aplicar inmediatamente el parche de seguridad en todas las instalaciones vulnerables.
- Rotar las claves de cifrado, tal como recomienda Adobe.
- Revisar los registros del servidor en busca de solicitudes o comportamientos anómalos.
- Buscar archivos PHP desconocidos o modificados recientemente.
- Comprobar la existencia de posibles web shells o puertas traseras.
- Analizar conexiones salientes inusuales desde el servidor Magento.
- Revisar las cuentas administrativas y sus permisos.
- Comprobar la integridad de archivos críticos de Magento.
- Investigar cualquier indicio de compromiso anterior a la instalación del parche.
- Mantener Magento y sus extensiones actualizados después de solucionar CVE-2026-75650.
Es especialmente importante recordar que una actualización no elimina necesariamente una infección que ya se haya producido. Si el atacante consiguió ejecutar código antes de la aplicación del parche, el servidor debe analizarse para determinar si existen mecanismos de persistencia.
Una vulnerabilidad que requiere atención inmediata
La combinación de una puntuación CVSS 10.0, explotación activa, posibilidad de ejecución arbitraria de código y afectación a plataformas ampliamente utilizadas para comercio electrónico convierte a StyleSmuggler en una amenaza que debe tratarse como prioritaria.
La aparición de puertas traseras basadas en Rust y shells web demuestra que los atacantes no necesariamente buscan únicamente alterar el funcionamiento de una tienda. También pueden intentar establecer mecanismos de acceso persistente para mantener el control de los sistemas comprometidos.
Para las empresas que utilizan Adobe Commerce o Magento Open Source, el mensaje es claro: comprobar la versión instalada, aplicar el parche VULN-39341, rotar las claves de cifrado y realizar una revisión de seguridad completa si existe cualquier indicio de explotación.
La rápida aparición de intentos contra honeypots también sugiere que la ventana de oportunidad para los atacantes puede ser corta. En este contexto, retrasar la actualización puede dejar expuestos servidores que contienen información y procesos esenciales para las operaciones de comercio electrónico.
CVE-2026-75650 debe considerarse una vulnerabilidad crítica de máxima prioridad para cualquier organización que opere Magento o Adobe Commerce en producción.
Fuente: The Hacker News
