Adobe libera hotfix de emergência para brecha 10.0 em Magento e Adobe Commerce
APSB26-146 corrige a CVE-2026-75650 explorada desde 4 de setembro em lojas Magento totalmente atualizadas. Sansec identificou a rota de execução remota sem autenticação.
Um patch fora do calendário
A Adobe publicou o boletim APSB26-146 às 20h20 UTC de 7 de setembro, com classificação de prioridade 1, a mais alta do fabricante. O documento reconhece a CVE-2026-75650 na Magento Open Source, no Adobe Commerce e no Adobe Commerce B2B, com pontuação CVSS 10.0. A falha permite execução remota de código sem autenticação em qualquer versão entre 2.4.4 e 2.4.9, incluindo builds com todos os pacotes de segurança de agosto aplicados.
A correção não é uma nova versão. É o hotfix VULN-39341, distribuído como pacote composer, que os merchants devem baixar de repo.magento.com e aplicar sobre a instalação atual. Rodar composer update para chegar à próxima release estável não corrige o problema. O ciclo trimestral oficial da Adobe permanece marcado para outubro.
Como o exploit sobreviveu ao patching
A holandesa Sansec, que rastreia intrusões em lojas Magento há mais de uma década, batizou a família de ataques de StyleSmuggler e publicou o primeiro aviso em 5 de setembro. O time reconstruiu a cadeia completa em instalações limpas das versões 2.4.7, 2.4.8 e 2.4.9. A primeira vítima identificada rodava Magento 2.4.6-p15 com os patches de julho e agosto instalados: estar em dia com o calendário oficial não protegeu a loja.
A técnica abusa do scanner de dependências dentro de setup/src/Magento/Setup/Module/Di/Code/, componente que existe para compilar código durante o deployment via linha de comando. Três métodos daquele scanner nunca tiveram restrição de contexto: uma requisição HTTP consegue disparar a mesma inclusão de arquivo que um desenvolvedor dispararia do terminal. O atacante injeta código PHP pela propriedade styles, contorna as validações de tipo do injetor e faz o servidor executar o payload durante a renderização de um e-mail de falha de pagamento. Segundo levantamento de superfície da Sansec, cerca de 111 mil lojas Magento aparecem publicamente expostas globalmente.
O que a Adobe recomenda depois do hotfix
O boletim orienta os merchants a partir do pressuposto de que a chave de criptografia da loja está comprometida. A Adobe pede rotação obrigatória de senha administrativa, tokens REST/SOAP/GraphQL, segredos de OAuth, credenciais de gateway de pagamento, banco de dados, chaves SSH e chaves de extensões de terceiros. A empresa não divulgou número de lojas efetivamente comprometidas, e nenhum estabelecimento foi nomeado até o fechamento desta matéria.
Leitura para diferentes mercados
O parque Magento é global e as consequências operacionais mudam por praça. Nos Estados Unidos, onde a plataforma é a espinha dorsal de milhares de marcas D2C e das lojas conectadas a operadores como o Adobe Experience Manager, o hotfix chega no meio da preparação para a temporada de vendas de fim de ano. Times de plataforma que rodam Adobe Commerce Cloud vão descobrir na próxima janela de manutenção se os merchants em multi-tenant conseguem aplicar o patch composer sem quebrar customizações.
Na Alemanha e no Reino Unido, o vetor pesa diferente. Redes de e-commerce alemãs e britânicas rodam Magento em larga escala para catálogos B2B, e a versão Adobe Commerce B2B 1.3.3 a 1.5.3 também consta no boletim. O calendário é pior por outro motivo: quem sofrer exfiltração de dados de cliente hoje entra em janela obrigatória de notificação sob o GDPR em 72 horas, com o supervisor irlandês e o ICO já monitorando a onda a partir dos primeiros relatos de merchants.
No Brasil, o Magento continua sendo uma das plataformas mais adotadas entre marcas de médio porte que fizeram a saída de plataformas SaaS proprietárias. Integradores locais administram parques com centenas de instâncias, e a orientação de rotação de credenciais atinge diretamente as chaves de gateways como Pagar.me, Cielo e Rede. A dependência de extensões da comunidade eleva o custo do sanity check: cada módulo precisa ser reauditado antes de girar o token de API.
O que fica para a próxima manutenção
Aplicar o hotfix responde à emergência, não à raiz. O componente que abriu a porta existe desde a arquitetura antiga de compilação, sobreviveu à migração para 2.x e nunca foi lido como uma superfície pública. A Adobe não sinalizou se pretende remover a rota HTTP no ciclo trimestral de outubro ou apenas manter o filtro adicionado hoje. Enquanto isso, o merchant que rodar composer update sem aplicar VULN-39341 vai continuar exposto no dia seguinte à instalação da próxima release.