PT-2026-86916
CVE-2026-75650
·
Publicado
2026-09-04
·
Atualizado
2026-11-04
Descrição por
CVSS 3.1
10
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas
Adobe Commerce versões 2.4.4 até 2.4.9
Adobe Commerce B2B versões 1.3.3 até 1.5.3
Magento Open Source versões 2.4.4 até 2.4.9
Descrição
O Adobe Commerce, Adobe Commerce B2B e Magento Open Source são afetados por um problema crítico de injeção em mecanismo de modelos. Um invasor remoto não autenticado pode executar código arbitrário no contexto do usuário do serviço da aplicação, sem a necessidade de interação do usuário. O ataque ocorre em duas etapas: primeiro, o invasor contamina o sistema enviando conteúdo malicioso por meio de propriedades de estilo controladas pelo invasor em uma requisição não autenticada, que é então armazenada em um registro ou relatório. Segundo, o invasor aciona um fluxo de renderização no servidor, como uma notificação de pagamento falho, fazendo com que o mecanismo de modelos avalie os dados armazenados como código PHP executável.
A exploração no mundo real foi confirmada desde 4 de setembro de 2026. Invasores utilizaram isso para implantar backdoors baseados em Rust, web shells PHP e skimmers de cartão de crédito. Detalhes técnicos incluem o uso do endpoint
/paypal/transparent/response/ para contrabandear PHP para var/report/ e o uso de requisições /graphql com parâmetros de estilo maliciosos para disparar a execução. Atividades pós-exploração incluem a camuflagem de processos como fc-cache, chronyd ou kworker/u:8:0 e a exfiltração de dados via consultas DNS.Recomendações
Para Adobe Commerce, Adobe Commerce B2B e Magento Open Source versões 2.4.4 até 2.4.9 e 1.3.3 até 1.5.3:
- Aplicar o hotfix VULN-39341 da Adobe imediatamente.
- Rotacionar a chave de criptografia do Commerce.
- Rotacionar todas as credenciais dependentes, incluindo senhas de administrador, tokens de integração REST, SOAP e GraphQL, segredos de cliente OAuth, credenciais de API de gateway de pagamento, credenciais de banco de dados e chaves SSH.
- Como mitigação temporária, restringir o acesso público à loja ou limitar o acesso de origem a endereços CDN/WAF aprovados.
- Restringir o tráfego de saída para serviços documentados de pagamento, impostos e envio.
- Remover permissões de gravação e execução desnecessárias de caminhos de mídia, cache e temporários.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾