La vulnerabilidad CVSS 10 de Magento necesita un hotfix y una rotación de credenciales

Adobe publicó la APSB26-146 el 7 de septiembre de 2026, corrigiendo la CVE-2026-75650, una vulnerabilidad crítica de ejecución remota de código no autenticada en Adobe Commerce, Adobe Commerce B2B y Magento Open Source que el investigador de seguridad Sansec ha apodado «StyleSmuggler». El fallo tiene la puntuación CVSS máxima de 10.0. CISA lo añadió a su catálogo de Vulnerabilidades Conocidas Explotadas el 8 de septiembre con un plazo de remediación federal del 11 de septiembre, que ya ha pasado.

Qué está afectado y qué está ocurriendo

El fallo afecta a las versiones de Commerce y Magento Open Source 2.4.4 a 2.4.9, incluidas todas las versiones con parches hasta la versión mensual de agosto de 2026 inclusive, además de Commerce B2B 1.3.3 a 1.5.3. Sansec informó de la primera explotación confirmada el 4 de septiembre, antes de que se publicara el parche de Adobe, y ha publicado indicadores de compromiso que incluyen ráfagas inesperadas de notificaciones «Payment Transaction Failed», procesos disfrazados de fc-cache, chronyd o kworker, entradas cron desconocidas y archivos PHP inesperados en pub/media.

Por qué el hotfix por sí solo no es una remediación

Aplicar el hotfix VULN-39341 cierra la vía de ejecución de código, pero la propia guía de Adobe indica explícitamente que no deshace ninguna exposición que ya se haya producido. El motor de plantillas vulnerable está cerca de la clave de cifrado que protege los tokens de integración, las credenciales de pasarelas de pago y los tokens de automatización con privilegios de sistema. Si un atacante accedió a esa clave antes de aplicar el hotfix, rotar la clave —y todas las credenciales que pudo haber expuesto— es la única forma de cerrar el círculo.

En qué consiste una remediación completa

• Confirmar que el hotfix VULN-39341 se ha aplicado realmente: una cadena de versión por sí sola no lo demuestra.
• Rotar la clave de cifrado, siguiendo el procedimiento de rotación de Adobe Experience League.
• Rotar las credenciales de administrador, integración, OAuth, pago, base de datos, SSH y extensiones que esa clave pudo haber protegido.
• Revisar los trabajos cron del servidor y los procesos en ejecución en busca de los indicadores publicados por Sansec.
• Volver a certificar la finalización una vez verificada la rotación, no solo una vez instalado el hotfix.

Dado que hubo explotación activa antes de que existiera el parche, cualquier comerciante que lo aplicara tarde debe asumir que el compromiso es posible hasta que la revisión de registros indique lo contrario.

Fuentes: Adobe APSB26-146, Adobe Experience League.