Falha zero-day crítica no Magento é explorada para instalar backdoor e web shell

A Adobe lançou uma atualização emergencial para corrigir uma vulnerabilidade crítica no Adobe Commerce e Magento Open Source que já está sendo explorada em ataques. Identificada como CVE-2026-75650, a falha recebeu pontuação máxima de 10,0 no CVSS e pode permitir execução remota de código nos servidores afetados.

A vulnerabilidade foi apelidada de StyleSmuggler pela empresa de segurança Sansec, que identificou a exploração como zero-day a partir de 4 de setembro. A própria Adobe confirmou ter conhecimento de ataques contra comerciantes que utilizam o Adobe Commerce.

O problema está relacionado ao sistema de templates do Magento. Os invasores conseguem explorar uma injeção de código PHP associada à geração de um e-mail de lembrete de falha em transação de pagamento, levando à execução de código no servidor. Segundo a Disrex, a técnica transforma recursos legítimos de processamento de templates e injeção de dependências do Magento em uma cadeia de execução remota de código sem autenticação.

A CVE-2026-75650 afeta diferentes versões do Adobe Commerce, Adobe Commerce B2B e Magento Open Source. No Magento Open Source, estão vulneráveis as versões 2.4.6-2026-aug, 2.4.7-2026-aug, 2.4.8-2026-aug e 2.4.9-2026-aug e anteriores dentro dessas linhas. Diversas versões correspondentes do Adobe Commerce e Adobe Commerce B2B também são afetadas.

A Adobe disponibilizou o hotfix VULN-39341 para corrigir o problema e orienta administradores a aplicar o patch correspondente à versão utilizada. A empresa também recomenda a rotação das chaves de criptografia após a atualização.

Os ataques observados mostram que a vulnerabilidade já está sendo utilizada para comprometer lojas virtuais. Em uma das campanhas, os invasores instalaram um backdoor para Linux desenvolvido em Rust, que estabelece comunicação com um servidor externo e permanece aguardando novas instruções dos operadores.

Em outra atividade, a exploração foi usada para instalar um dropper PHP nos sites vulneráveis. O componente grava uma web shell no servidor, permitindo posteriormente a execução arbitrária de código PHP e fornecendo aos invasores um mecanismo para manter controle sobre o ambiente comprometido.

A velocidade da exploração também chama atenção. Segundo a Disrex, um servidor Magento administrado pela empresa foi comprometido apenas 50 minutos depois do primeiro caso confirmado de exploração do StyleSmuggler, registrado em 4 de setembro, às 22h20 UTC.

A combinação de pontuação CVSS 10.0, exploração ativa, ausência de necessidade de autenticação e possibilidade de execução remota de código torna a atualização prioritária para organizações que utilizam versões afetadas do Adobe Commerce ou Magento Open Source. Além da aplicação do VULN-39341 e da rotação das chaves, ambientes expostos devem ser verificados em busca de sinais de comprometimento, considerando que a vulnerabilidade já era explorada antes da disponibilização da correção.