Actualización: Adobe ha lanzado correcciones de urgencia (hotfixes) para esta vulnerabilidad crítica de seguridad. Se registra como CVE-2026-75650 (puntuación CVSS de 10/10). Aikido cuenta con una solución operativa para varias versiones afectadas y seguirá monitorizando hasta que Adobe publique una versión oficial.
Un nuevo zero-day llamado StyleSmuggler permite a atacantes no autenticados la ejecución remota de código en todas las versiones actuales de Magento Open Source y Adobe Commerce, y ha estado bajo explotación activa desde el 4 de septiembre. Sansec publicó su investigación el 5 de septiembre. Adobe aún no ha lanzado
Aikido Intel detectó esta incidencia y la catalogó como crítica antes de que Adobe le asignara un número CVE, y Aikido Libraries ya cuenta con un parche operativo para las múltiples versiones afectadas. Este artículo explica cómo funciona el exploit, a quién afecta y cómo solucionarlo, tanto si ya eres cliente de Aikido como si todavía no lo eres.
{{cta}}
La solución: lo que ha lanzado Aikido
Aikido Libraries soluciona los paquetes vulnerables sustituyéndolos por un reemplazo directo y seguro, por lo que la tienda no necesita actualizar la versión de Magento ni de Adobe Commerce, y no hay nada nuevo que deba someterse a pruebas de regresión. Es la misma trampa de actualización de la que hemos hablado en otros sitios, salvo que en este caso no existe una nueva versión a la que actualizar. En una plataforma en la que actualizar una versión suele romper las extensiones y personalizaciones, los equipos pueden aplicar este cambio durante un fin de semana en lugar de iniciar un proyecto de varias semanas con control de calidad y la aprobación del proveedor.
Aikido ha publicado parches para las siguientes ramas:
- 2.3.1-p12007002+aikido
- 2.4.7-p1012007002+aikido
- 2.4.8-p512007002+aikido
Los equipos que utilicen el paquete vulnerable en varios sitios web pueden desplegar la solución de forma masiva en todos ellos simultáneamente.
El parche depura los estilos de las plantillas antes de que el motor de Magento los procese, bloqueando la ruta exacta que utiliza StyleSmuggler para llegar al procesamiento de directivas e inyección de dependencias de la plataforma. Se aplica en dos puntos según la versión, adaptándose a las dos formas en que el código vulnerable gestiona los datos de estilo. El tráfico CSS legítimo pasa intacto.
Aikido Intel es el canal de inteligencia de amenazas que respalda la detección. Realiza un seguimiento de los exploits activos y de día cero a medida que surgen, incluso antes de que se asigne un CVE, y ha catalogado este caso como crítico en todos los paquetes afectados: AIKIDO-2026-248927 para Magento Open Source, AIKIDO-2026-123768 para Adobe Commerce y AIKIDO-2026-724507 para el metapaquete de Magento Cloud. Cada registro detalla el punto de inyección y la condición de activación, lo que te permite confirmar la exposición sin necesidad de esperar a Adobe.
Si no eres cliente de Aikido, la medida de mitigación oficial más cercana en este momento es desactivar GraphQL temporalmente, ya que representa el punto de entrada que necesita el exploit. Esto supone un gran inconveniente para cualquier escaparate headless o PWA, que dejará de funcionar en cuanto se bloquee GraphQL, y aun así solo protege frente al patrón de ataque actual. El fallo subyacente seguirá abierto hasta que Adobe lance una solución definitiva.
Cómo funciona StyleSmuggler
El exploit se ejecuta en dos fases, ambas aprovechando funcionalidades ya existentes en Magento.
Primero, un atacante no autenticado inyecta código PHP a través de las propiedades de estilo en una solicitud de GraphQL. La carga útil no se ejecuta de inmediato. Se escribe en un archivo que Magento genera por sí mismo, como un informe de fallos generado durante un error en el proceso de pago. En segundo lugar, la carga útil se ejecuta más tarde, cuando Magento procesa un correo electrónico de recordatorio de pago fallido (Payment Transaction Failed Reminder). No es necesario que el correo llegue a su destino. El código se ejecuta en el servidor durante el renderizado de la plantilla, por lo que el ataque se completa aunque el mensaje nunca llegue a la bandeja de entrada.
Las intrusiones confirmadas han instalado una puerta trasera (backdoor) persistente basada en Rust y disimulada como un hilo del kernel. Sobrevive a un reinicio y se queda a la espera de instrucciones, a veces durante horas antes de realizar cualquier acción. A partir de ahí, la exposición es todo lo que implica la RCE (ejecución remota de código) sin autenticación en una plataforma de e-commerce: PII de clientes, detalles de transacciones de pago, credenciales de administrador, contenido de bases de datos y una vía para inyecciones de *skimmers* al estilo Magecart dirigidas a los compradores.
A quién afecta
Todas las versiones actuales de Magento Open Source y Adobe Commerce son vulnerables, incluida la 2.4.9. Sansec reprodujo toda la cadena de ataque en instalaciones limpias de 2.4.7, 2.4.8 y 2.4.9. Una de las víctimas confirmadas ejecutaba la versión 2.4.6-p15 con los parches de seguridad de julio y agosto de 2026 aplicados por completo. El estado del parche no la salvó.
La postura de Adobe
Hasta el momento de redactar este artículo, Adobe no ha publicado un aviso, no ha asignado un identificador CVE ni ha lanzado un parche o solución alternativa, y su boletín de seguridad de Commerce más reciente sigue fechado el 11 de agosto. Su próximo lanzamiento de seguridad programado es el 8 de septiembre. Todavía se desconoce si este cubrirá StyleSmuggler.
Qué hacer ahora mismo
- Comprueba tu nivel de exposición en la entrada de Aikido Intel correspondiente a tu paquete: AIKIDO-2026-248927 (Magento Open Source), AIKIDO-2026-123768 (Adobe Commerce) o AIKIDO-2026-724507 (metapaquete de Magento Cloud).
- Aplica la solución de Aikido Libraries para tu versión o deshabilita GraphQL como medida provisional si no puedes parchear de inmediato.
- No esperes al lanzamiento de Adobe del 8 de septiembre. No está confirmado que cubra este problema.
- Rota tus credenciales de Magento si encuentras cualquier indicio de compromiso, ya que se ha observado que la puerta trasera permanece inactiva antes de activarse.
Actualizaremos esta publicación a medida que Adobe publique más directrices.
Preguntas frecuentes
¿Está siendo explotado StyleSmuggler activamente? Sí. Sansec confirmó tráfico de ataques a partir del 4 de septiembre de 2026, un día antes de su divulgación pública.
¿Necesito haber iniciado sesión o disponer de una sesión activa para que mi sitio esté en riesgo? No. StyleSmuggler no requiere autenticación, lo que significa que los atacantes no necesitan credenciales, sesión ni interacción por parte del usuario para explotarlo.
¿Actualizar a la última versión de Magento soluciona este problema? No. Se ha confirmado que Magento 2.4.9, la versión más reciente, es vulnerable junto con la 2.4.7 y la 2.4.8.
¿Existe algún parche por parte de Adobe? Todavía no. Adobe no ha asignado ningún CVE ni ha lanzado un parche hasta el momento de redactar este artículo.
