Uma vulnerabilidade zero day ainda sem correção oficial no Magento Open Source e Adobe Commerce está sendo explorada para executar código remotamente e instalar backdoors em lojas virtuais. A falha foi chamada de StyleSmuggler e os primeiros ataques foram observados em 4 de setembro.
A exploração não exige autenticação. O ataque injeta código PHP malicioso em arquivos gerados pelo Magento e depois força a própria plataforma a processar esse conteúdo por meio do sistema de templates.
A cadeia pode ser acionada durante a geração do e-mail padrão de falha em transações. A vítima não precisa abrir a mensagem, e o ataque pode funcionar mesmo quando o envio do e-mail não é concluído.
Pesquisadores reproduziram o ataque em instalações limpas das versões 2.4.7, 2.4.8 e 2.4.9. Uma das primeiras vítimas utilizava o Magento 2.4.6-p15 com as atualizações de julho e agosto instaladas, indicando que sistemas totalmente atualizados também estão expostos.
Após o comprometimento, um implante escrito em Rust pode ser instalado fora do diretório da loja e se disfarçar como o processo [kworker/u:8:0]. Uma tarefa cron é criada para reiniciar o malware a cada cinco minutos.
Servidores comprometidos podem dar aos invasores acesso a sessões, credenciais e dados da aplicação, além de permitir a instalação de cargas adicionais. Até agora, não há confirmação de roubo de dados ou skimmers de pagamento nos casos analisados.
Em 8 de setembro, a Adobe publicou a correção. A falha recebeu o identificador CVE-2026-75650, com pontuação CVSS 10.0, e o hotfix foi disponibilizado no pacote VULN-39341-composer-patches.zip, acompanhado de instruções para rotação das chaves de criptografia. Estão cobertas as versões 2.4.4 a 2.4.9 do Adobe Commerce, 1.3.3 a 1.5.3 do Adobe Commerce B2B e 2.4.6 a 2.4.9 do Magento Open Source. Administradores devem aplicar o patch imediatamente e verificar se houve comprometimento antes da atualização.
