jithinkrishnanrs/stylesmuggler-ioc-toolkitStyleSmuggler (CVE-2026-75650) kit de IOC para Magento Open Source e Adobe Commerce. Detecte lojas comprometidas, implantes Rust, web shells PHP, artefatos de persistência e indicadores de comprometimento conhecidos.
Magento zero-day · Adobe Commerce zero-day · CVE-2026-75650 · APSB26-146 · VULN-39341 · RCE não autenticado · malware Magento · remoção de backdoor Magento · vulnerabilidade Magento 2.4.9 · implante Rust · injeção de estilos GraphQL · web shell PHP
Indicadores de comprometimento da comunidade, um scanner de comprometimento e orientações de mitigação/correção para o StyleSmuggler (CVE-2026-75650) — o RCE não autenticado no Magento Open Source / Adobe Commerce divulgado pela Sansec em 5 de setembro de 2026, com exploração em ambiente real confirmada a partir de 4 de setembro de 2026. A Adobe publicou uma correção oficial, APSB26-146, em 7 de setembro de 2026. Se você pesquisou por "StyleSmuggler IOC", "CVE-2026-75650", "APSB26-146", "VULN-39341", "malware fc-cache Magento", "backdoor chronyd Magento", "gvfsd-user Magento" ou "RCE de estilos GraphQL Magento", este é o repositório que você procura.
Este é um toolkit exclusivamente defensivo. Ele contém assinaturas de detecção, um scanner de comprometimento e regras de endurecimento/bloqueio construídas a partir de relatórios de incidentes publicados e de primeira mão. Ele não contém código de exploit, um gatilho de prova de conceito ou qualquer coisa que gere o payload do ataque. Se você procura por isso, está no repositório errado — vá corrigir e caçar em vez disso.
| Vulnerabilidade | StyleSmuggler (nome dado pela Sansec) — CVE-2026-75650 |
| Fornecedor | Adobe (Magento Open Source, Adobe Commerce) |
| CVE | CVE-2026-75650, atribuído em 2026-09-07 |
| Boletim da Adobe | APSB26-146, publicado em 2026-09-07 20:20 UTC, Prioridade 1 (mais alta) |
| Também necessário | APSB26-138 (atualização regular do Adobe Commerce de setembro de 2026, patch isolado 249-2026-09-001-CE, lançado em 2026-09-08). A Adobe afirma que o VULN-39341 deve ser aplicado em adição a esta atualização, e não em seu lugar. |
| CVSS | 10.0 (3.1 e 4.0) — Crítico. Vetor 3.1 completo: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| CWE | CWE-1336, Neutralização Imprópria de Elementos Especiais Usados em um Mecanismo de Template |
| CISA KEV | Adicionado ao catálogo Known Exploited Vulnerabilities da CISA em 2026-09-08. Prazo de remediação para o poder executivo civil federal (FCEB): 2026-09-11. A entrada da CISA também sinaliza que esta vulnerabilidade exige triagem forense/IR, com uso conhecido em campanhas de ransomware listado como "Desconhecido". Não é apenas um problema da comunidade Magento — agora é um RCE ativamente explorado e rastreado em nível federal. |
| Patch oficial | Lançado. Hotfix VULN-39341. A cobertura não é universal — consulte a tabela abaixo. |
| Autenticação necessária | Nenhuma — não autenticado |
| Código de exploit público | Não há PoC oficial da Adobe/Sansec, mas a cobertura corroborante menciona um repositório público no GitHub (criado por volta de 8 de setembro) que se descreve como uma reprodução em laboratório de pesquisa da cadeia completa — "sem código de exploit público" é mais fraco do que parece. Consulte docs/VULNERABILITY.md. |
| Versões afetadas | Reproduzido pela Sansec em instalações limpas do Magento Open Source 2.4.7, 2.4.8, 2.4.9; a primeira vítima confirmada executava a 2.4.6-p15 totalmente corrigida (com patches anteriores) |
| Exploração | Ativa desde 2026-09-04 22:20 UTC; continuou durante o lançamento do patch; pelo menos três toolkits independentes confirmados explorando o mesmo ponto de entrada em 2026-09-14. Uma rede de rastreamento de exploits relata mais de 500 IPs de origem distintas desde 9 de setembro. A telemetria de WAF de terceiros (Imperva) relata que os alvos observados se concentram em varejo (~39,5%), lifestyle (~19,5%) e saúde (~17,9%) — instantâneos da visibilidade de fornecedores individuais, não uma afirmação sobre a população completa de lojas vulneráveis. |
| Variantes conhecidas do implante em Rust | [kworker/u:8:0] (4 de setembro) → fc-cache v2.1.4 (6 de setembro) → chronyd v2.1.5 (7 de setembro) — mesmo operador, mesmo ID de agente, versões incrementando. A build chronyd foi observada se relançando sem entrada no cron e com um processo pai PID-1. |
| Segundo atacante, não relacionado | Web shell em PHP em pub/media/catalog/product/cache/, precedida por uma sonda de reconhecimento com exfiltração via DNS — independente do implante em Rust, confirmado em 2026-09-07 |
| Terceiro toolkit, distinto | Confirmado em 2026-09-14. Um backdoor de inclusão remota de arquivos (RFI) editado diretamente no arquivo central do framework vendor/magento/framework/App/View.php, controlado por um cookie (gl_google_advisor_824808) disfarçado de rastreamento de ad-tech. Busca e executa um payload remoto sob demanda e, em seguida, exclui o arquivo transitório — nada permanece no disco entre requisições, exceto a única linha adulterada em um arquivo de fornecedor. |
| Detonação sem o e-mail | Confirmado em 2026-09-14. Uma segunda cadeia alcança execução completa de código via POST /paypal/transparent/response/ (código-fonte PHP na query string) sem nunca renderizar o e-mail de "pagamento falhou" — marcadores MGPROOF::/MGKWSIM::, execução direta de comandos através de um parâmetro kwc. Mitigações construídas apenas em torno do gatilho do e-mail não cobrem isso. |
| Vetores de entrega conhecidos | Parâmetro styles[] do GraphQL; código de loja inválido registrado em var/log/system.log; arquivo enviado por meio das opções personalizadas de cliente do Magento; injeção do cabeçalho Store: pelo segundo atacante não relacionado; código-fonte PHP na query string de /paypal/transparent/response/ (independente de e-mail) |
| Impacto | Execução remota de código → backdoor persistente baseado em Rust, web shell em PHP independente, um backdoor RFI furtivo em nível de framework, coleta de sessões do Redis, exposição de credenciais/segredos via app/etc/env.php |
| Produto | Coberto pelo APSB26-146 | Sem correção oficial |
|---|---|---|
| Adobe Commerce (incl. B2B, Cloud) | 2.4.4 – 2.4.9 | abaixo de 2.4.4 |
| Adobe Commerce B2B | 1.3.3 – 1.5.3 | abaixo de 1.3.3 |
| Magento Open Source | apenas 2.4.6 – 2.4.9 | 2.4.5 e anteriores |
Se você está numa versão mais antiga e não suportada, a Adobe não está a enviar-lhe uma correção, mesmo que
esteja igualmente exposto. Consulte docs/PATCHING.md para as suas opções
— incluindo uma nota para utilizadores do Mage-OS, que têm uma versão de emergência dedicada
(3.5.0) em vez do pacote de hotfix específico para Commerce da Adobe.
Esta informação muda rapidamente. Verifique junto das fontes primárias antes de
agir: o advisory da Sansec e
o boletim da Adobe.
Consulte docs/TIMELINE.md para um registo contínuo e cite as suas fontes quando
atualizar algo aqui.
O próprio parâmetro styles do GraphQL do Magento e a sua análise de ficheiros baseada em
injeção de dependências são abusados como uma primitiva de execução diferida baseada em ficheiros. A cadeia
originalmente documentada tem duas fases, mas — segundo a atualização da Sansec de 14 de setembro — não é
a única cadeia confirmada, e a detonação nem sempre exige o que a fase dois descrevia
originalmente:
