Falha CVSS 10 do Magento exige hotfix e rotação de credenciais

A Adobe publicou o APSB26-146 a 7 de setembro de 2026, corrigindo o CVE-2026-75650, uma falha crítica de execução remota de código não autenticada no Adobe Commerce, Adobe Commerce B2B e Magento Open Source à qual o investigador de segurança Sansec deu o nome de "StyleSmuggler." A vulnerabilidade tem a pontuação CVSS máxima de 10,0. A CISA adicionou-a ao seu catálogo de Vulnerabilidades Exploradas Conhecidas a 8 de setembro, com um prazo federal de remediação de 11 de setembro, que já expirou.

O que está afetado e o que está a acontecer

A falha afeta as versões 2.4.4 a 2.4.9 do Commerce e Magento Open Source, incluindo todas as versões de patch até à versão mensal de agosto de 2026, inclusive, bem como o Commerce B2B 1.3.3 a 1.5.3. A Sansec reportou a primeira exploração confirmada a 4 de setembro, antes de o patch da Adobe ser lançado, e publicou indicadores de comprometimento, incluindo rajadas inesperadas de notificações de "Payment Transaction Failed", processos disfarçados de fc-cache, chronyd ou kworker, entradas de cron desconhecidas e ficheiros PHP inesperados em pub/media.

Porque é que o hotfix por si só não é remediação

A aplicação do hotfix VULN-39341 fecha o caminho de execução de código, mas a orientação da própria Adobe é explícita ao afirmar que não desfaz qualquer exposição que já tenha ocorrido. O motor de templates vulnerável está próximo da chave de encriptação que protege tokens de integração, credenciais de gateways de pagamento e tokens de automação com privilégios de sistema. Se um atacante tiver acedido a essa chave antes de o hotfix ser aplicado, a rotação da chave — e de todas as credenciais que ela possa ter exposto — é a única forma de fechar o ciclo.

Como é uma remediação completa

• Confirmar que o hotfix VULN-39341 está efetivamente aplicado — uma cadeia de versão por si só não o prova.
• Rodar a chave de encriptação, seguindo o procedimento de rotação da Experience League da Adobe.
• Rodar credenciais de administrador, integração, OAuth, pagamento, base de dados, SSH e extensões que essa chave possa ter protegido.
• Rever os cron jobs do servidor e os processos em execução em busca dos indicadores publicados pela Sansec.
• Voltar a atestar a conclusão assim que a rotação for verificada, e não apenas quando o hotfix estiver instalado.

Dada a exploração ativa antes de o patch existir, qualquer comerciante que tenha aplicado o patch tardiamente deve assumir que o comprometimento é possível até que a revisão dos registos indique o contrário.

Fontes: Adobe APSB26-146, Adobe Experience League.