Hemos estado realizando el seguimiento de una vulnerabilidad crítica de ejecución remota de código (RCE) no autenticada (rastreada como CVE-2026-75650 y denominada StyleSmuggler). El grupo de inteligencia sobre seguridad de Akamai puede confirmar los intentos activos de explotación de esta vulnerabilidad.
La vulnerabilidad tiene una puntuación CVSS máxima de 10,0 y no requiere autenticación ni interacción del usuario para explotarla.
Los atacantes introducen de contrabando código PHP malicioso en la cadena de procesamiento de plantillas de Magento a través de encabezados y parámetros HTTP, y posteriormente lo ejecutan durante la renderización automatizada del correo electrónico.
Según nuestra investigación, las protecciones frente a inyecciones CMD de Akamai Adaptive Security Engine (ASE) ya bloquean los vectores de explotación basados en parámetros y encabezados GraphQL principales de forma nativa, por lo que no es necesario implementar nuevas reglas.
Seguimos validando la cobertura de detección en todos los vectores de explotación observados para esta vulnerabilidad.
Los clientes afectados deben aplicar el hotfix oficial de Adobe (APSB26-146/VULN-39341) lo antes posible.
CVE-2026-75650 es una vulnerabilidad de ejecución remota de código crítica que afecta a Adobe Commerce, Adobe Commerce B2B y Magento Open Source. El defecto permite a un atacante no autenticado inyectar código PHP en el motor de plantillas de la plataforma y, más tarde, ejecutarlo en el servidor.
La vulnerabilidad se está explotando activamente en el mundo real desde principios de septiembre de 2026, lo que llevó a Adobe a publicar una actualización de seguridad de emergencia fuera de banda.
El ataque se ejecuta en cuatro pasos:
Un atacante envía una solicitud al punto final GraphQL de Magento con código PHP malicioso oculto dentro de un encabezado o parámetro HTTP.
Magento registra el valor no reconocido, almacenando involuntariamente el código PHP del atacante en un archivo de registro del servidor.
Una solicitud de seguimiento activa el motor de plantillas de Magento, normalmente mediante la generación de un correo electrónico transaccional estándar.
Durante la representación, el motor de plantillas carga el archivo de registro envenenado y ejecuta el código PHP incrustado, lo que permite al atacante ejecutar código remoto.
Puesto que su explotación no requiere autenticación ni interacción del usuario, cualquier instancia expuesta sin parches está en riesgo.
La vulnerabilidad está presente en Adobe Commerce y Magento Open Source versiones 2.4.4 a 2.4.9 y Adobe Commerce B2B 1.3.3 a 1.5.3. Los usuarios deben aplicar las actualizaciones de seguridad proporcionadas por Adobe en APSB26-146 (hotfix VULN-39341) para corregir esta vulnerabilidad.
Según nuestra investigación, las protecciones frente a inyecciones de CMD del Adaptive Security Engine de Akamai App & API Protector bloquean de forma nativa los vectores de explotación principales basados en parámetros y en encabezados GraphQL, sin necesidad de ninguna regla nueva. Las reglas de ASE existentes ya detectan y detienen los patrones PHP/de inyección de comandos utilizados en los intentos de explotación observados de StyleSmuggler que analizamos. No se ha observado ninguna prueba de concepto pública y totalmente convertida en arma para esta vulnerabilidad en el momento de la redacción de este artículo.
Seguimos validando la cobertura de detección en todos los vectores de explotación observados y emergentes de esta vulnerabilidad. Aunque las protecciones del firewall de aplicaciones web (WAF) de Akamai pueden identificar y bloquear patrones de ataque conocidos, la defensa más eficaz sigue siendo la aplicación rápida del parche del proveedor. Dada la gravedad de este problema, aplique las actualizaciones lo antes posible.
El grupo de inteligencia sobre seguridad de Akamai seguirá supervisando, informando y creando mitigaciones para amenazas de este tipo tanto para nuestros clientes como para la comunidad de la seguridad en general. Para mantenerse al día con más noticias de última hora del grupo de inteligencia sobre seguridad de Akamai, consulte nuestra página de investigación y síganos en las redes sociales.
©2026 Akamai Technologies
