jithinkrishnanrs/stylesmuggler-ioc-toolkitStyleSmuggler (CVE-2026-75650) kit de IOC para Magento Open Source y Adobe Commerce. Detecta tiendas comprometidas, implantes en Rust, webshells en PHP, artefactos de persistencia e indicadores de compromiso conocidos.
Zero-day de Magento · Zero-day de Adobe Commerce · CVE-2026-75650 · APSB26-146 · VULN-39341 · RCE no autenticado · malware de Magento · eliminación de backdoor de Magento · vulnerabilidad de Magento 2.4.9 · implante en Rust · inyección de estilos en GraphQL · web shell en PHP
Indicadores de compromiso de la comunidad, un escáner de compromiso y guía de mitigación/parcheo para StyleSmuggler (CVE-2026-75650) — el RCE no autenticado de Magento Open Source / Adobe Commerce divulgado por Sansec el 5 de septiembre de 2026, con explotación en el mundo real confirmada desde el 4 de septiembre de 2026. Adobe publicó una corrección oficial, APSB26-146, el 7 de septiembre de 2026. Si buscaste "StyleSmuggler IOC", "CVE-2026-75650", "APSB26-146", "VULN-39341", "malware fc-cache de Magento", "backdoor chronyd de Magento", "gvfsd-user Magento" o "RCE de estilos en GraphQL de Magento", este es el repositorio que buscas.
Este es únicamente un toolkit defensivo. Contiene firmas de detección, un escáner de compromiso y reglas de endurecimiento/bloqueo construidas a partir de informes de incidentes publicados y de primera mano. No contiene código de exploit, un disparador de prueba de concepto ni nada que genere el payload del ataque. Si buscas eso, estás en el repositorio equivocado — ve a parchear y a cazar en su lugar.
| Vulnerabilidad | StyleSmuggler (nombre de Sansec) — CVE-2026-75650 |
| Proveedor | Adobe (Magento Open Source, Adobe Commerce) |
| CVE | CVE-2026-75650, asignado el 2026-09-07 |
| Boletín de Adobe | APSB26-146, publicado el 2026-09-07 a las 20:20 UTC, Prioridad 1 (la más alta) |
| También requerido | APSB26-138 (la actualización regular de Adobe Commerce de septiembre de 2026, parche aislado 249-2026-09-001-CE, publicado el 2026-09-08). Adobe indica que VULN-39341 debe aplicarse además de esta, no en su lugar. |
| CVSS | 10.0 (3.1 y 4.0) — Crítica. Vector 3.1 completo: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| CWE | CWE-1336, Neutralización incorrecta de elementos especiales utilizados en un motor de plantillas |
| CISA KEV | Añadida al catálogo de Vulnerabilidades Explotadas Conocidas de CISA el 2026-09-08. Fecha límite de remediación para el poder ejecutivo civil federal (FCEB): 2026-09-11. La entrada de CISA también señala que requiere triaje forense/IR, con el uso en campañas de ransomware conocido listado como "Desconocido". Ya no es solo un problema de la comunidad de Magento: ahora es un RCE activamente explotado y rastreado a nivel federal. |
| Parche oficial | Publicado. Hotfix VULN-39341. La cobertura no es universal — véase la tabla a continuación. |
| Autenticación requerida | Ninguna — no autenticado |
| Código de exploit público | No hay un PoC oficial de Adobe/Sansec, pero la cobertura corroboradora menciona un repositorio público de GitHub (creado ~8 de septiembre) que se describe a sí mismo como una reproducción de laboratorio de investigación de la cadena completa — "sin código de exploit público" es más débil de lo que parece. Véase docs/VULNERABILITY.md. |
| Versiones afectadas | Reproducido por Sansec en Magento Open Source 2.4.7, 2.4.8, 2.4.9 limpios; la primera víctima confirmada ejecutaba 2.4.6-p15 completamente parcheada (con parches anteriores) |
| Explotación | Activa desde el 2026-09-04 a las 22:20 UTC; continuó durante la publicación del parche; al menos tres toolkits independientes confirmados explotando el mismo punto de entrada a fecha de 2026-09-14. Una red de seguimiento de exploits reporta más de 500 IPs de origen distintas desde el 9 de septiembre. La telemetría de WAF de terceros (Imperva) reporta que los objetivos observados se inclinan hacia retail (~39,5%), lifestyle (~19,5%) y sanidad (~17,9%) — instantáneas de la visibilidad de proveedores individuales, no una afirmación sobre la población completa de tiendas vulnerables. |
| Variantes conocidas del implante en Rust | [kworker/u:8:0] (4 de septiembre) → fc-cache v2.1.4 (6 de septiembre) → chronyd v2.1.5 (7 de septiembre) — mismo operador, mismo ID de agente, versiones incrementándose. Se ha observado que la compilación de chronyd se relanza a sí misma sin entrada en cron y con un proceso padre PID-1. |
| Segundo atacante, no relacionado | Web shell en PHP en pub/media/catalog/product/cache/, precedida por una sonda de reconocimiento con exfiltración por DNS — independiente del implante en Rust, confirmado el 2026-09-07 |
| Tercer toolkit, distinto | Confirmado el 2026-09-14. Un backdoor de inclusión remota de archivos (RFI) editado directamente en el archivo central del framework vendor/magento/framework/App/View.php, condicionado por una cookie (gl_google_advisor_824808) disfrazada de seguimiento de ad-tech. Obtiene y ejecuta una carga útil remota bajo demanda, y luego elimina el archivo transitorio — nada permanece en disco entre peticiones excepto la única línea manipulada en un archivo de vendor. |
| Detonación sin el correo electrónico | Confirmado el 2026-09-14. Una segunda cadena alcanza la ejecución completa de código mediante POST /paypal/transparent/response/ (código fuente PHP en la cadena de consulta) sin llegar a renderizar nunca el correo de "pago fallido" — marcadores MGPROOF::/MGKWSIM::, ejecución directa de comandos a través de un parámetro kwc. Las mitigaciones construidas únicamente en torno al disparador del correo electrónico no cubren esto. |
| Vectores de entrega conocidos | Parámetro styles[] de GraphQL; código de tienda inválido registrado en var/log/system.log; archivo subido mediante las opciones personalizadas de cliente de Magento; la inyección de cabecera Store: del segundo atacante no relacionado; código fuente PHP en la cadena de consulta de /paypal/transparent/response/ (independiente del correo electrónico) |
| Impacto | Ejecución remota de código → backdoor persistente basado en Rust, web shell PHP independiente, un backdoor RFI sigiloso a nivel de framework, recolección de sesiones de Redis, exposición de credenciales/secretos mediante app/etc/env.php |
| Producto | Cubierto por APSB26-146 | Sin corrección oficial |
|---|---|---|
| Adobe Commerce (incl. B2B, Cloud) | 2.4.4 – 2.4.9 | anterior a 2.4.4 |
| Adobe Commerce B2B | 1.3.3 – 1.5.3 | anterior a 1.3.3 |
| Magento Open Source | solo 2.4.6 – 2.4.9 | 2.4.5 y anteriores |
Si estás en una versión más antigua y sin soporte, Adobe no te está enviando una corrección aunque
seas igual de explotable. Consulta docs/PATCHING.md para conocer tus opciones
— incluida una nota para usuarios de Mage-OS, que tienen una versión de emergencia dedicada
(3.5.0) en lugar del paquete de hotfix específico de Commerce de Adobe.
Esta información cambia rápido. Verifícala con las fuentes primarias antes de
actuar: el aviso de Sansec y
el boletín de Adobe.
Consulta docs/TIMELINE.md para ver un registro cronológico y cita tus fuentes cuando
actualices algo aquí.
