CISA adiciona vulnerabilidade StyleSmuggler ao catálogo KEV

A Sansec descobriu uma vulnerabilidade zero-day não corrigida no Magento Open Source e no Adobe Commerce, chamada StyleSmuggler, que está sendo explorada ativamente desde 4 de setembro.

A descoberta alerta para uma falha crítica que permite ataques sem autenticação em plataformas de e-commerce amplamente usadas.

A Adobe não publicou até 6 de setembro nenhum comunicado, CVE, patch ou workaround para a vulnerabilidade.

A falta de ação da Adobe aumenta o risco para lojistas, que não têm como se proteger oficialmente.

A Sansec afirmou que todas as versões atuais são afetadas, incluindo 2.4.9, e reproduziu a cadeia completa de ataque sem autenticação em instalações limpas do Magento Open Source 2.4.7, 2.4.8 e 2.4.9.

Isso indica que mesmo lojas atualizadas estão vulneráveis, aumentando a urgência de uma correção oficial.

A exploração da falha permite que atacantes não autenticados executem código arbitrário no servidor da loja e instalem um backdoor persistente.

O ataque pode comprometer totalmente a loja online sem necessidade de credenciais, resultando em roubo de dados e controle do servidor.

A primeira vítima observada rodava Magento 2.4.6-p15 com os patches de segurança de julho e agosto de 2026 da Adobe aplicados.

Isso demonstra que mesmo lojas com as últimas atualizações disponíveis estão vulneráveis, contradizendo a ideia de que manter o software atualizado é suficiente.

A Sansec recomendou como medida temporária desabilitar o GraphQL nas lojas afetadas até que a Adobe lance uma correção.

A recomendação visa mitigar o risco imediato, já que não há patch oficial disponível.

A CISA adicionou a vulnerabilidade StyleSmuggler (CVE-2026-75650) ao seu catálogo KEV, confirmando a exploração ativa desde 4 de setembro.

A inclusão no catálogo KEV da CISA é um reconhecimento oficial de que a falha está sendo explorada ativamente, o que pressiona as agências federais dos EUA a aplicarem patches com urgência.

Adobe lançou patches de emergência para corrigir a vulnerabilidade StyleSmuggler, classificada como CVE-2026-75650 com pontuação CVSS 10.0.

O lançamento de patches pela Adobe é uma resposta crítica para proteger lojas online que usam Adobe Commerce e Magento Open Source, uma vez que a falha tinha CVSS máximo.

A exploit de StyleSmuggler permite que atacantes não autenticados executem código arbitrário em lojas online vulneráveis.

A capacidade de execução remota de código sem autenticação torna a falha particularmente perigosa, pois pode ser explorada sem interação do usuário.

A Adobe confirmou que a vulnerabilidade está sendo explorada ativamente contra comerciantes Adobe Commerce.

A confirmação oficial da Adobe sobre a exploração ativa legitima os alertas da Sansec e reforça a necessidade de aplicação imediata dos patches.