Zero‑day crítico en Magento/Adobe Commerce: parchea ya o pierde clientes

Gancho – La puerta de tu tienda online está abierta

Imagina que gestionas una tienda online española basada en Magento o Adobe Commerce. De la noche a la mañana, un hacker puede colarse, modificar precios, robar datos de clientes o incluso sustituir todo tu sitio por una versión desfigurada… y todo sin necesidad de iniciar sesión. Eso es precisamente lo que hace la nueva vulnerabilidad StyleSmuggler. El riesgo es real, la ventana de tiempo es estrecha y la solución es sencilla: parchea ahora o arriesga a perder clientes.

Qué está pasando – Explicación de la vulnerabilidad StyleSmuggler

StyleSmuggler es un fallo de código que permite a un atacante enviar una petición especialmente manipulada a tu tienda Magento y ejecutar código arbitrario en el servidor. En palabras cotidianas, es como entregarle a un desconocido una llave maestra que abre todas las cerraduras de tu negocio, sin que él muestre identificación.

El fallo está en el núcleo de Magento Open Source y Adobe Commerce hasta la versión 2.4.9. Al estar en la propia plataforma, cualquier tienda que utilice esas versiones – ya sea la página de pedidos online de una pastelería o el catálogo de una marca de moda – está expuesta.

Quién está afectado – Versiones y configuraciones típicas en España

• Magento Open Source 2.4.7, 2.4.8, 2.4.9 – todas las revisiones son vulnerables.
• Adobe Commerce 2.4.7‑2.4.9 – comparten el mismo código, por lo que el riesgo es idéntico.
• Configuraciones habituales de tiendas españolas – la mayoría aloja Magento en un servidor Linux, usa GraphQL para front‑ends “headless” y confía en tareas cron (procesos programados que se ejecutan automáticamente). Todos estos componentes pueden ser explotados por la puerta trasera.

Si tu tienda usa alguna de esas versiones, aunque ya hayas aplicado las últimas actualizaciones de seguridad de agosto, sigues en riesgo. La vulnerabilidad no distingue entre hosting compartido o servidor dedicado; solo necesita que el código vulnerable esté presente.

Cómo proteger tu tienda online de los hackers

1. Aplica el parche de emergencia en cuanto Adobe lo publique (se espera el 8 de septiembre). Sigue el boletín de seguridad de Adobe y actualiza de inmediato.
2. Desactiva temporalmente GraphQL – los investigadores de Sansec aconsejan apagar el endpoint GraphQL hasta que haya un fix. En el panel de administración de Magento, ve a Tiendas → Configuración → Avanzado → Desarrollador y pon “Habilitar GraphQL” en “No”. No romperá una tienda clásica, pero bloqueará las apps headless que dependan de GraphQL.
3. Bloquea tráfico sospechoso – añade una regla al firewall que bloquee peticiones con el patrón de carga maliciosa que ha publicado Sansec. Si utilizas un WAF, importa el conjunto de reglas que han puesto a disposición.
4. Revisa los cron jobs – busca entradas desconocidas en /var/spool/cron/crontabs/ que ejecuten binarios desde directorios ocultos (p.ej. ~/.local/share/.gvfsd/gvfsd‑user). Elimina cualquier línea sospechosa y reinicia el servicio cron.
5. Reinicia el servidor web – tras los cambios, reinicia Apache o Nginx para que la nueva configuración quede activa.

Estas acciones pueden realizarse hoy, incluso antes de que llegue el parche oficial, y reducen drásticamente la probabilidad de una compromisión exitosa.

Lista de comprobación de seguridad a largo plazo – Mantén tu tienda segura después de la crisis

• Calendario de parches – suscríbete a los boletines de seguridad de Adobe y aplica cada actualización dentro de la semana siguiente a su publicación.
• Monitorización continua – habilita una monitorización 24/7 que alerte sobre procesos inusuales, nuevas entradas cron o conexiones salientes inesperadas.
• Estrategia de copias de seguridad – guarda copias diarias cifradas de la base de datos y del sistema de archivos en un sitio externo. Prueba la restauración al menos una vez al mes.
• Configuración de menor privilegio – ejecuta el servidor web bajo un usuario dedicado con solo los permisos estrictamente necesarios. Evita que PHP tenga acceso de escritura al directorio home.
• Firewall de aplicaciones web – utiliza un WAF de confianza que bloquee patrones de explotación conocidos y que limite la tasa de peticiones a APIs como GraphQL.
• Hosting con enfoque en seguridad – si gestionas tu propio servidor, refuerza SSH (autenticación con claves, puerto distinto al 22) y mantén el SO actualizado. Si usas un proveedor, pregunta por sus procesos de gestión de parches y detección de intrusiones.

Seguir esta lista convierte una reacción puntual en una defensa proactiva, protegiendo la confianza de tus clientes y tu rentabilidad.

FAQ

P: Mi tienda usa un front‑end headless que depende de GraphQL. ¿ Puedo desactivarlo?
R: Desactivar GraphQL romperá temporalmente la conexión headless, pero protege el back‑end mientras esperas el parche. Puedes volver a activarlo una vez aplicado el fix oficial, o usar un proxy temporal que filtre la carga maliciosa.

P: No sé qué versión de Magento tengo. ¿Cómo lo descubro?
R: Entra en el panel de administración, ve a Sistema → Herramientas → Asistente de configuración web (o revisa el archivo composer.json en la raíz). El número de versión aparece en la parte superior, por ejemplo “Magento 2.4.8”.

P: ¿Necesito a un especialista para aplicar el parche o lo puedo hacer yo mismo?
R: El parche es una actualización estándar de Magento y puede aplicarse vía línea de comandos (composer update y luego bin/magento setup:upgrade). Si no te sientes cómodo con la terminal, un profesional puede aplicarlo de forma segura y comprobar que no quede ninguna puerta trasera.

Cierre – Cómo puede ayudar IT Move NL

Una zero‑day como StyleSmuggler recuerda que incluso las plataformas de e‑commerce más robustas requieren vigilancia constante. En IT Move NL nos especializamos en Seguridad & Protección para tiendas Magento y Adobe Commerce: monitorización 24/7, gestión rápida de parches y endurecimiento que va más allá de lo básico. Junto a nuestro servicio de Mantenimiento & Soporte, mantenemos tu tienda actualizada, respaldada y lista para vender – para que tú puedas centrarte en el negocio, no en los problemas de seguridad.

Si necesitas una mano para asegurar tu tienda Magento, contáctanos en /es/contact. Estamos encantados de conversar sobre cómo nuestro servicio de Seguridad & Protección puede mantener tu tienda a salvo.

---

Fuentes:

• Unpatched Magento and Adobe Commerce Zero-Day Exploited to Backdoor Online Stores