Identificamos uma vulnerabilidade crítica de execução remota de código (RCE) não autenticada, rastreada como CVE-2026-75650 e batizada de StyleSmuggler. O Grupo de Inteligência em Soluções de Segurança da Akamai pode confirmar que há tentativas ativas de exploração dessa vulnerabilidade.
A vulnerabilidade tem uma pontuação máxima de 10,0 no CVSS e não requer autenticação ou interação do usuário para ser explorada.
Os atacantes inserem código PHP malicioso na cadeia de processamento de modelos do Magento por meio de cabeçalhos e parâmetros HTTP, executando-o posteriormente durante a geração automática de e-mails.
Com base em nossa investigação, as proteções contra injeção de comandos do Akamai Adaptive Security Engine (ASE) já bloqueiam nativamente os principais vetores de exploração baseados em cabeçalhos e parâmetros do GraphQL, sem a necessidade de implementar novas regras.
Continuamos a validar a cobertura de detecção em todos os vetores de exploração observados para esta vulnerabilidade.
Os clientes afetados ainda devem aplicar o hotfix oficial da Adobe (APSB26-146/VULN-39341) o mais rápido possível.
O CVE-2026-75650 é uma vulnerabilidade crítica de execução remota de código que afeta o Adobe Commerce, o Adobe Commerce B2B e o Magento Open Source. A falha permite que um atacante não autenticado injete código PHP no motor de templates da plataforma e o execute posteriormente no servidor.
A vulnerabilidade tem sido explorada ativamente desde o início de setembro de 2026, o que levou a Adobe a lançar uma atualização de segurança emergencial fora do seu ciclo regular.
O ataque é executado em quatro etapas:
Um atacante envia uma solicitação ao endpoint GraphQL do Magento contendo código PHP malicioso oculto em um cabeçalho ou parâmetro HTTP.
O Magento registra o valor não reconhecido, armazenando inadvertidamente o código PHP malicioso em um arquivo de log no servidor.
Um pedido de acompanhamento ativa o motor de modelos do Magento, geralmente através da geração de um e-mail transacional padrão.
Durante o processo de renderização, o motor de modelos carrega o arquivo de log malicioso e executa o código PHP embutido, permitindo que o atacante execute código remotamente.
Como a exploração não requer autenticação nem interação do usuário, qualquer instância exposta e sem correção está em risco.
A vulnerabilidade está presente no Adobe Commerce e Magento Open Source versões 2.4.4 a 2.4.9 e no Adobe Commerce B2B 1.3.3 a 1.5.3. Os usuários devem aplicar imediatamente as atualizações de segurança fornecidas pela Adobe no APSB26-146 (hotfix VULN-39341) para corrigir essa vulnerabilidade.
Com base em nossa investigação, as proteções contra injeção de comandos do Adaptive Security Engine do Akamai App & API Protector bloqueiam nativamente os principais vetores de exploração baseados em cabeçalhos e parâmetros do GraphQL, sem a necessidade de criar novas regras. As regras existentes do ASE já conseguem detectar e bloquear os padrões de injeção de comandos e PHP utilizados nas tentativas de exploração do StyleSmuggler que analisamos. Até o momento da redação deste artigo, não foi identificada nenhuma prova de conceito (PoC) pública e totalmente operacional para explorar essa vulnerabilidade.
Continuamos a validar a cobertura de detecção em todos os vetores de exploração observados e emergentes relacionados a essa vulnerabilidade. Embora as proteções do firewall de aplicações web (WAF) da Akamai sejam capazes de identificar e bloquear padrões de exploração conhecidos, a defesa mais eficaz continua a ser a aplicação imediata da correção fornecida pelo fabricante. Dada a gravidade deste problema, aplique as atualizações o mais rápido possível.
O Akamai Security Intelligence Group continuará monitorando, notificando e criando mitigações quanto a ameaças como essas para nossos clientes e para a comunidade de segurança em geral. Para acompanhar as notícias mais recentes do Akamai Security Intelligence Group, confira nossa página inicial de pesquisa e siga nossos perfis nas redes sociais.
© 2026 Akamai Technologies
