Atualização: a Adobe lançou correções urgentes para esta falha de segurança crítica. É monitorizada como CVE-2026-75650 (pontuação CVSS de 10/10). O Aikido tem uma correção funcional para várias versões afetadas e continuará a monitorizar até que a Adobe lance uma versão oficial.
Um novo zero-day chamado StyleSmuggler permite que atacantes não autenticados executem código remoto contra todas as versões atuais do Magento Open Source e Adobe Commerce, encontrando-se sob exploração ativa desde 4 de setembro. A Sansec publicou a sua investigação a 5 de setembro. A Adobe ainda não lançou
Aikido Intel detetou esta situação e classificou-a como crítica antes de a Adobe ter atribuído um número CVE, e Aikido Libraries já dispõe de uma correção funcional para várias versões afetadas. Esta publicação aborda o funcionamento da exploração, quem afeta e como corrigir o problema, quer já seja cliente da Aikido, quer não.
{{cta}}
A correção: o que a Aikido disponibilizou
O Aikido Libraries corrige pacotes vulneráveis através da substituição por um componente seguro de integração direta (drop-in), evitando que a loja necessite de qualquer atualização de versão do Magento ou do Adobe Commerce, sem introduzir novos testes de regressão. É a mesma armadilha de atualização sobre a qual já escrevemos noutros artigos, exceto que, neste caso, não existe uma nova versão para a qual atualizar. Numa plataforma em que uma atualização de versão frequentemente quebra extensões e personalizações, as equipas podem aplicar esta solução durante um fim de semana, em vez de iniciarem um projeto de várias semanas com controlo de qualidade (QA) e aprovação do fornecedor.
A Aikido lançou correções para as seguintes ramificações:
- 2.3.1-p12007002+aikido
- 2.4.7-p1012007002+aikido
- 2.4.8-p512007002+aikido
As equipas que executem o pacote vulnerável em vários sites podem implementar a correção em massa em todos os sites simultaneamente.
A correção higieniza os estilos de modelo antes de o motor do Magento os processar, fechando exatamente o caminho utilizado pelo StyleSmuggler para aceder ao processamento de diretivas e injeção de dependências da plataforma. É aplicada em dois pontos, dependendo da versão, correspondendo às duas formas como o código vulnerável processa os dados de estilo. O CSS legítimo passa sem sofrer alterações.
O Aikido Intel é o feed de Threat Intelligence subjacente à deteção. Monitoriza explorações ativas e zero-days à medida que surgem, antes de ser atribuído qualquer CVE, e classificou esta vulnerabilidade como crítica em todos os pacotes afetados: AIKIDO-2026-248927 para o Magento Open Source, AIKIDO-2026-123768 para o Adobe Commerce e AIKIDO-2026-724507 para o metapackage do Magento Cloud. Cada registo documenta o ponto de injeção e a condição de disparo, permitindo confirmar a exposição sem ter de aguardar por uma resposta da Adobe.
Se não for cliente da Aikido, a alternativa mais próxima de uma mitigação oficial neste momento consiste em desativar temporariamente o GraphQL, uma vez que se trata do ponto de entrada utilizado pela exploração. Trata-se de um compromisso considerável para qualquer storefront headless ou PWA, que fica offline no momento em que o GraphQL é bloqueado e, mesmo assim, apenas protege contra o padrão de ataque atual. A vulnerabilidade subjacente permanece aberta até que a Adobe lance uma correção definitiva.
Como funciona o StyleSmuggler
A exploração ocorre em duas fases, ambas tirando partido de funcionalidades já presentes no Magento.
Primeiro, um atacante não autenticado injeta PHP através de propriedades de estilo num pedido GraphQL. O payload não é executado de imediato. É gravado num ficheiro gerado pelo próprio Magento, como um relatório de falhas produzido durante um erro no processo de pagamento (checkout). Segundo, o payload é executado posteriormente, quando o Magento processa um e-mail de lembrete de falha numa transação de pagamento (Payment Transaction Failed Reminder). O e-mail não precisa de ser entregue. O código é executado no lado do servidor durante a renderização do modelo, pelo que o ataque é concluído mesmo que a mensagem nunca chegue a uma caixa de entrada.
As intrusões confirmadas instalaram uma porta dos fundos (backdoor) persistente baseada em Rust, disfarçada de thread de kernel. Sobrevive a reinicializações e permanece à espera de instruções, por vezes durante horas antes de executar qualquer ação. A partir daí, a exposição é tudo o que a RCE não autenticada numa plataforma de comércio eletrónico implica: PII de clientes, detalhes de transações de pagamento, credenciais de administrador, conteúdos da base de dados e um vetor para injeções de skimmers ao estilo Magecart direcionadas aos compradores.
Quem é afetado
Todas as versões atuais do Magento Open Source e Adobe Commerce são vulneráveis, incluindo a 2.4.9. A Sansec reproduziu toda a cadeia de ataque em instalações limpas das versões 2.4.7, 2.4.8 e 2.4.9. Uma vítima confirmada executava a versão 2.4.6-p15 com as correções de segurança de julho e agosto de 2026 totalmente aplicadas. O estado das correções não evitou o ataque.
Qual é a posição da Adobe
À data em que escrevemos este artigo, a Adobe não publicou nenhum aviso, não atribuiu um identificador CVE, nem lançou qualquer correção ou solução alternativa, sendo que o seu boletim de segurança do Commerce mais recente ainda remonta a 11 de agosto. A sua próxima atualização de segurança agendada é a 8 de setembro. Continua por determinar se essa atualização abrangerá o StyleSmuggler.
O que fazer agora
- Verifique a sua exposição consultando a entrada correspondente no Aikido Intel para o seu pacote: AIKIDO-2026-248927 (Magento Open Source), AIKIDO-2026-123768 (Adobe Commerce) ou AIKIDO-2026-724507 (metapackage do Magento Cloud).
- Aplique a correção do Aikido Libraries para a sua versão ou desative o GraphQL como medida provisória caso não consiga aplicar patches de imediato.
- Não aguarde pela atualização da Adobe de 8 de setembro. Não existe confirmação de que esta abranja o problema.
- Rodeie as credenciais do Magento se encontrar qualquer evidência de comprometimento, uma vez que se observou que a 'backdoor' permanece inativa antes de se ativar.
Vamos atualizar esta publicação à medida que a Adobe for disponibilizando mais orientações.
FAQ
O StyleSmuggler está a ser ativamente explorado? Sim. A Sansec confirmou tráfego de ataques com início a 4 de setembro de 2026, um dia antes da divulgação pública.
Preciso de ter sessão iniciada ou de dispor de uma sessão para o meu site correr riscos? Não. O StyleSmuggler não requer autenticação, o que significa que os atacantes não precisam de credenciais, de sessão ou de interação do utilizador para o explorar.
Atualizar para a versão mais recente do Magento resolve o problema? Não. O Magento 2.4.9, a versão mais recente, está confirmado como vulnerável, juntamente com o 2.4.7 e o 2.4.8.
Existe algum patch disponibilizado pela Adobe? Ainda não. À data de escrita, a Adobe ainda não atribuiu um CVE nem lançou um patch.
