Con todos los parches aplicados, la tienda igual fue hackeada: detectan un exploit de día cero activo en Magento

Los especialistas de Sansec descubrieron la vulnerabilidad StyleSmuggler, a través de la cual atacantes secuestran en remoto tiendas en Magento Open Source y Adobe Commerce sin necesidad de una cuenta.

La primera ataque se registró el 4 de septiembre a las 22:20 UTC. La tienda afectada ejecutaba Magento Open Source 2.4.6-p15 con todas las actualizaciones de seguridad de julio y agosto de 2026. El comando integrado security:patch-status tampoco detectó problemas. Sin embargo, la vulnerabilidad era desconocida para los desarrolladores, por lo que no existía una corrección disponible.

El equipo de Sansec reprodujo el ataque completo en instalaciones limpias de Magento Open Source 2.4.7, 2.4.8 y 2.4.9. Según los especialistas, el problema afecta a todas las versiones vigentes de Magento Open Source y Adobe Commerce. Para su explotación no se requieren credenciales, una sesión activa ni acciones de administrador.

StyleSmuggler funciona en dos fases. Primero, el atacante envía una solicitud POST especialmente preparada a /graphql con el parámetro styles[...] e inyecta código PHP en el sistema de plantillas de Magento. Luego la plataforma ejecuta ese código al generar el correo estándar sobre una operación de pago fallida.

El destinatario no necesita abrir el correo. El código malicioso se ejecuta en el servidor durante la preparación del mensaje. El ataque se desencadena incluso si falla el envío de correo, por lo que la ausencia de mensajes sospechosos no garantiza la seguridad de la tienda.

Tras el acceso exitoso se carga en el servidor un pequeño backdoor escrito en Rust. Las primeras muestras camuflaban el proceso como el hilo del sistema [kworker/u:8:0], y las versiones más nuevas usan el nombre fc-cache. El malware se fija mediante cron y se conecta con la infraestructura de control por TLS o envía tráfico disfrazado de NTP a través del puerto UDP 123.

Sansec no ha encontrado indicios de que los operadores del backdoor enviaran comandos adicionales a los servidores infectados. No obstante, el programa recopila información del sistema y mantiene acceso remoto persistente. Ese punto de apoyo permite más tarde robar datos de pago, volcar la base de clientes o instalar otro malware.

Al momento de la publicación StyleSmuggler no tenía identificador CVE, y Adobe no había publicado un boletín aparte ni una corrección oficial. La última actualización de Adobe Commerce del 11 de agosto corrige otras vulnerabilidades y no protege contra el nuevo ataque. La siguiente salida de actualizaciones está prevista para el 8 de septiembre, pero aún se desconoce si incluirá la corrección de StyleSmuggler.

Hasta la publicación de una corrección se recomienda a los propietarios de tiendas convencionales desactivar temporalmente GraphQL. Para proyectos con PWA, aplicaciones móviles o una vitrina separada, esa medida puede afectar el servicio. En esos casos, las solicitudes con el parámetro styles[ se pueden bloquear en el servidor web, en el CDN o en el cortafuegos.

También se aconseja a los administradores comprobar cron, los procesos kworker y fc-cache, el directorio var/report/ y las conexiones de red según los indicadores publicados. Si se detectan rastros del ataque, una futura corrección en una sola instalación no será suficiente. Hay que considerar el servidor comprometido y será necesario cambiar las contraseñas de Magento, las credenciales de la base de datos y las claves de API.