Alerta Urgente: Vulnerabilidade Crítica no Adobe Commerce Sob Ataque Ativo

A vulnerabilidade CVE-2026-75650, apelidada de StyleSmuggler, representa uma ameaça crítica com pontuação CVSS 10.0 para lojas que utilizam Adobe Commerce e Magento Open Source. Esta falha permite a atacantes não autenticados executar código remotamente, inserindo conteúdo malicioso através de propriedades de estilo manipuladas. O vetor de ataque explora o processamento de templates do Magento, especificamente em e-mails de notificação, como os de transação de pagamento falha. Ao disparar esses e-mails com dados comprometidos, o código injetado é executado no servidor durante a renderização da mensagem, mesmo que o e-mail não seja entregue ou aberto.

A cadeia de exploração começa com a execução do código PHP, seguida da instalação de backdoors em Rust e web shells em PHP. O backdoor Rust, que utiliza nomes como [kworker/u:8:0] e fc-cache para se disfarçar, estabelece comunicação de comando e controle via tráfego NTP disfarçado pela porta UDP 123 e garante persistência com tarefas cron. Em 7 de setembro de 2026, foi identificado outro atacante utilizando um PHP dropper para implantar um web shell no cache de imagens do Magento. Este segundo implante permite execução de comandos PHP por meio de headers específicos, estabelecendo um ponto de acesso independente do backdoor Rust. As versões afetadas incluem Adobe Commerce e Magento Open Source de 2.4.4 a 2.4.9.

Esta vulnerabilidade é extremamente grave porque permite a execução de código não autenticado, significando que um atacante não precisa de credenciais para comprometer os sistemas. Para lojas online, isso se traduz em risco direto de roubo de dados de clientes, informações financeiras, desfiguração do site e interrupção completa das operações. A detecção tardia da exploração, que começou em 4 de setembro de 2026, e a complexidade dos implantes (backdoors em Rust e web shells) tornam a limpeza e a recuperação um desafio significativo, exigindo mais do que apenas a aplicação do hotfix da Adobe.