Introducción
Desde el 4 de septiembre de 2026, tiendas en línea construidas sobre Magento y Adobe Commerce están siendo comprometidas por una vulnerabilidad sin parche ni identificador CVE. Bautizada StyleSmuggler por la empresa neerlandesa Sansec —que la reveló públicamente al día siguiente de las primeras explotaciones detectadas—, esta falla afecta a todas las versiones actuales de la plataforma, incluida la 2.4.9 con la totalidad de sus parches aplicados.
Un ataque que se desarrolla en dos fases
La primera fase aprovecha el sistema de plantillas de Magento a través de GraphQL. Los atacantes manipulan las propiedades styles de un recurso para inyectar código PHP malicioso, eludiendo los mecanismos de saneamiento integrados sin necesidad de autenticarse.
La segunda fase resulta más inquietante: la ejecución del código no requiere ninguna interacción humana. Se activa automáticamente cuando Magento genera de forma interna su correo estándar de recuperación para transacciones de pago fallidas. Nadie necesita abrir ni siquiera recibir ese mensaje —basta con que el sistema lo renderice internamente para que la carga maliciosa se dispare. El dropper PHP resultante prueba seis funciones distintas para lanzar un proceso del sistema y, a continuación, descarga e instala un implante persistente.
Una puerta trasera disfrazada de sincronización horaria
El implante es un binario compilado en Rust de aproximadamente 1,9 megabytes. Para camuflarse en el entorno, adopta la denominación [kworker/u:8:0] —un nombre de hilo del kernel Linux de lo más habitual— y se reinicia automáticamente cada cinco minutos mediante una tarea cron. Sus comunicaciones con el servidor de comando y control viajan por el puerto UDP 123, el mismo que emplea el protocolo NTP para la sincronización horaria: un tráfico que habitualmente no genera ninguna alerta en las configuraciones de red corporativas estándar.
Todas las versiones afectadas; Adobe, en silencio
Sansec reprodujo el ataque completo en instalaciones limpias de las versiones 2.4.7, 2.4.8 y 2.4.9. La primera víctima confirmada operaba sobre la versión 2.4.6-p15 con todos los parches de julio y agosto de 2026 aplicados: estar rigurosamente actualizado no constituía ninguna protección.
En el momento de publicar este artículo, Adobe no ha emitido ningún aviso de seguridad, no ha asignado un identificador CVE ni ha proporcionado un parche. Se anuncia un boletín de seguridad para el 8 de septiembre de 2026, sin garantía de que aborde específicamente esta vulnerabilidad.
Medidas inmediatas en espera de un parche oficial
Ante la ausencia de un parche, varias acciones permiten reducir la superficie de ataque:
- Deshabilitar GraphQL si la tienda no utiliza arquitectura headless ni progressive web app —es el vector de inyección inicial.
- Deshabilitar la función PHP
proc_openy montar los directorios temporales con la opciónnoexecpara bloquear la ejecución del implante. - Auditar los registros en
var/report/yvar/log/system.logen busca de indicios de explotación. - Inspeccionar las tareas cron y los procesos activos en busca de un hilo
[kworker/u:8:0]ilegítimo.
Parches informales publicados por colaboradores de la comunidad Magento permiten un endurecimiento parcial mientras se aguarda una respuesta oficial.
Lo que esto revela sobre la postura de seguridad en e-commerce
StyleSmuggler recuerda que las plataformas de comercio electrónico concentran un perfil de riesgo singular: datos bancarios, APIs abiertas y actualizaciones frecuentemente postergadas en entornos con un alto grado de personalización. La explotación comenzó 24 horas antes de la divulgación pública —los atacantes ya operaban cuando la comunidad tomó conocimiento de la amenaza—. Para los equipos que administran estas infraestructuras en producción, aplicar las medidas de mitigación disponibles no es opcional.