CVE-2026-75650: Adobe Corrige Zero-Day Crítico no Magento Explorados Ativamente para Implantar Backdoors

A Adobe lançou uma atualização de segurança de emergência que aborda uma vulnerabilidade de máxima severidade no Adobe Commerce e no Magento Open Source que os atacantes já estão explorando no ambiente selvagem. Rastreada como CVE-2026-75650 e avaliada em 10,0 na escala CVSS, a falha permite a execução remota de código não autenticado em servidores de e-commerce vulneráveis.

A vulnerabilidade, apelidada de StyleSmuggler pela empresa de segurança de e-commerce Sansec, abusa da funcionalidade de processamento de templates do Magento para injetar e executar código PHP malicioso. Os ataques foram confirmados pela primeira vez em 4 de setembro de 2026, vários dias antes de a Adobe lançar seu hotfix de emergência em 7 de setembro.

Os agentes de ameaça já usaram o zero-day para implantar um backdoor Linux baseado em Rust e, em ataques separados, um web shell em PHP capaz de executar comandos PHP arbitrários. Como a exploração não requer conta válida no Magento ou interação do usuário, lojas voltadas para a internet que executam builds vulneráveis devem ser tratadas como alvos de alta prioridade para aplicação de patches e investigação retrospectiva.

Análise do CVE-2026-75650

A Adobe classifica a vulnerabilidade como CWE-1336: Neutralização inadequada de elementos especiais usados em um mecanismo de templates. Seu vetor CVSS indica exploração baseada em rede, baixa complexidade de ataque, sem privilégios e sem necessidade de interação do usuário, com potencial impacto elevado na confidencialidade, integridade e disponibilidade.

Os detalhes mais importantes para CVE-2026-75650 dizem respeito à forma como o Magento transforma dados controlados por atacantes em PHP executável durante o processamento normal da aplicação. O StyleSmuggler abusa de diretivas de templates e da funcionalidade interna de injeção de dependência em vez de depender de uma extensão maliciosa ou conta de administrador.

Em um nível alto, o ataque conhecido segue dois estágios. Primeiro, o conteúdo PHP controlado pelo atacante é escrito em um arquivo que o Magento pode acessar posteriormente, como um log de aplicação ou relatório. Uma segunda solicitação então faz com que a cadeia de processamento de templates do Magento alcance a funcionalidade do scanner de injeção de dependência que carrega o arquivo envenenado usando include ou require_once do PHP. Como essas funções interpretam PHP em vez de meramente ler o arquivo, o código controlado pelo atacante é executado no servidor.

Sansec descreve outro aspecto observável da cadeia: os atacantes acionam deliberadamente o normal Lembrete de Falha em Transação de Pagamento do Magento. O código malicioso é executado enquanto o Magento renderiza o template, então um cliente ou administrador não precisa abrir o email. O exploit pode até ser bem-sucedido quando a entrega real do e-mail falha.

Contatar Vendas

O CVE-2026-75650 afeta os seguintes ramos do Adobe Commerce de acordo com o boletim de emergência da Adobe:

• 2.4.9-2026-ago e anteriores
• 2.4.8-2026-ago e anteriores
• 2.4.7-2026-ago e anteriores
• 2.4.6-2026-ago e anteriores
• 2.4.5-2026-ago e anteriores
• 2.4.4-2026-ago e anteriores

As versões afetadas do Adobe Commerce B2B incluem:

• 1.5.3-2026-ago e anteriores
• 1.5.2-2026-ago e anteriores
• 1.4.2-2026-ago e anteriores
• 1.3.4-2026-ago e anteriores
• 1.3.3-2026-ago e anteriores

Os ramos do Magento Open Source até 2.4.9-2026-ago também estão cobertos pelo boletim da Adobe.

A Sansec reproduziu independentemente toda a cadeia de ataque não autenticada em instalações novas do Magento Open Source 2.4.7, 2.4.8 e 2.4.9. O primeiro cliente comprometido confirmado estava executando o Magento 2.4.6-p15 com as atualizações de segurança de julho e agosto aplicadas, demonstrando que os sistemas considerados totalmente corrigidos antes de 7 de setembro ainda eram vulneráveis ao zero-day.

Uma vez que a execução remota de código é obtida, o compromisso se estende além do próprio Magento. A primeira campanha observada implantou um pequeno implante Linux baseado em Rust que estabeleceu persistência e se comunicou com a infraestrutura atacante enquanto se disfarçava como atividade legítima do sistema.

Versões iniciais se mascararam como um processo de trabalhador de kernel chamado:

[kworker/u:8:0]

Versões posteriores adotaram nomes incluindo:

fc-cache

e:

chronyd

A variante fc-cache armazenou-se sob ~/.cache/fontconfig/fc-cache, adicionou uma entrada cron para reiniciar duas vezes por hora e usou tráfego na porta UDP 123 projetado para se parecer com comunicações NTP. Sansec relatou que os domínios relacionados resolveram para 185.157.160.251 em 7 de setembro.

Um atacante separado foi observado abusando da mesma vulnerabilidade para entregar um pequeno dropper PHP. Essa carga criou um web shell PHP oculto sob um caminho semelhante a:

pub/media/catalog/product/cache/ss_<10hex>/sync_<10hex>.php

O shell normalmente retornava uma resposta HTTP 404, mas solicitações que contivessem o cabeçalho X-Cache-Token requerido poderiam fornecer código PHP através de um parâmetro POST para execução.

Essas observações mostram que o StyleSmuggler não está vinculado a uma única família de malware ou agente de ameaça. Múltiplos adversários podem usar independentemente a RCE subjacente para implantar sua ferramenta de persistência e pós-comprometimento preferida.

Sansec registrou a primeira exploração confirmada em 4 de setembro às 22:20 UTC. Outro servidor Magento investigado pela Disrex foi comprometido aproximadamente 50 minutos depois. A Adobe lançou o boletim APSB26-146 e o hotfix de emergência oficial em 7 de setembro, confirmando que a exploração já estava ocorrendo abertamente.

Sansec e Disrex publicaram informações técnicas extensas sobre a cadeia subjacente, mas intencionalmente retiveram uma solicitação totalmente armada que tornaria a exploração trivial de reproduzir.

Útil IOCs CVE-2026-75650 incluem processos e arquivos suspeitos associados ao implante Rust, arquivos PHP incomuns abaixo dos diretórios de mídia do Magento, atividade inesperada do Lembrete de Falha em Transação de Pagamento e a infraestrutura identificada pela Sansec. Defensores também devem buscar conteúdo de relatórios ou logs maliciosos em vez de limitar investigações ao diretório webroot do Magento.

Mitigação CVE-2026-75650

A Adobe classificou o APSB26-146 como Prioridade 1 e instrui os clientes afetados a aplicarem imediatamente o hotfix VULN-39341 . O pacote de patch oficial é distribuído através do repositório Magento da Adobe para lançamentos afetados do Commerce e do Magento Open Source.

A Adobe também instrui os clientes a rotacionar suas chaves de criptografia após aplicar o hotfix. Isso é particularmente importante para as lojas que estavam expostas antes de 7 de setembro porque a execução arbitrária de código bem-sucedida pode ter permitido aos atacantes acessar segredos da aplicação e configurações sensíveis do lado do servidor.

A detecção do CVE-2026-75650 deve, portanto, começar com três perguntas:

1. A loja estava acessível da internet entre 4 de setembro e a instalação do hotfix da Adobe?
2. O VULN-39341 foi aplicado com sucesso?
3. Existem sinais de que processos PHP ou nativos foram lançados antes da remediação?

Para detectar exploração ou atividade pós-comprometimento do CVE-2026-75650, as equipes de segurança devem procurar por:

• Surto inesperado de e-mails de Lembrete de Falha em Transação de Pagamento
• Conteúdo PHP suspeito em logs do Magento ou arquivos sob var/report/
• Arquivos de relatório contendo strings x_trace_ incomuns
• Processos se mascarando como [kworker/u:8:0], fc-cache ou chronyd
• ~/.local/share/.gvfsd/ ou ~/.cache/fontconfig/fc-cache
• Tarefas cron suspeitas reiniciando binários desconhecidos
• Arquivos PHP inesperados abaixo de pub/media/
• Web shells sob pub/media/catalog/product/cache/
• Tráfego de saída para infraestrutura conhecida do StyleSmuggler
• Comunicações UDP/123 anormais do host da aplicação Magento
• Solicitações HTTP inesperadas envolvendo comportamento incomum de processamento de templates
• Novos usuários de aplicação, credenciais alteradas ou configuração do servidor modificada após atividade web suspeita

Os administradores não devem assumir que apagar um arquivo suspeito do diretório do Magento remove o comprometimento. Em incidentes investigados, o malware se realocou fora do webroot, criou uma persistência baseada em cron, continuou executando de arquivos apagados e pôde recriar partes de sua persistência após a remoção.

O processo de mitigação do CVE-2026-75650 deve, portanto, incluir resposta a incidentes para as lojas que eram publicamente acessíveis antes da aplicação do patch. Se indicadores de comprometimento forem descobertos, isole o host, preserve evidências forenses, termine processos maliciosos, identifique mecanismos de persistência, reveja mudanças no sistema de arquivos e rotacione credenciais e segredos acessíveis do servidor afetado.

Deve-se prestar atenção especial a:

• Credenciais de administrador do Magento
• Chaves de criptografia do Adobe Commerce
• Credenciais de banco de dados
• Segredos de API e integração
• Credenciais de pagamento e serviços de terceiros
• Credenciais SSH
• Tokens de nuvem ou hospedagem acessíveis do host da aplicação

As equipes de segurança também devem validar a integridade dos arquivos de aplicação e extensões do Magento e investigar a atividade de rede de saída em busca de sinais de que um implante se comunicou com infraestrutura de comando e controle externa.

Como os ataques iniciais do StyleSmuggler ocorreram antes de um patch oficial ou assinaturas de detecção públicas estarem disponíveis, simplesmente confirmar que uma loja agora está atualizada não estabelece que ela nunca foi comprometida. Qualquer sistema vulnerável voltado para a internet operando durante a janela zero-day de 4 a 7 de setembro merece revisão histórica.