Alerta de Vulnerabilidade - Adobe Commerce e Magento Open Source

Vulnerabilidade de injeção de template no lado do servidor (SSTI - CWE-1336) no Adobe Commerce, Adobe Commerce B2B e Magento Open Source, plataformas de comércio eletrónico, com o identificador CVE-2026-75650/EUVD-2026-72530, divulgada pela Adobe no boletim de segurança APSB26-146 [1][2][3].

A exploração desenrola-se em duas fases e requer que o endpoint GraphQL esteja acessível. Na primeira, o atacante injeta código PHP num ficheiro escrito pelo próprio Magento, através das propriedades de estilos, o que lhe permite escapar às proteções existentes nesse ponto. Na segunda, desencadeia o email padrão "Payment Transaction Failed Reminder", que faz o Magento processar esse ficheiro no motor de templates e executar o código injetado. A execução ocorre no servidor durante a renderização da mensagem, e não depende de o email ser aberto [4].

São afetadas as seguintes versões, e as anteriores em cada linha [2][3]:

• Adobe Commerce: 2.4.4-2026-aug, 2.4.5-2026-aug, 2.4.6-2026-aug, 2.4.7-2026-aug, 2.4.8-2026-aug e 2.4.9-2026-aug
• Adobe Commerce B2B: 1.3.3-2026-aug, 1.3.4-2026-aug, 1.4.2-2026-aug, 1.5.2-2026-aug e 1.5.3-2026-aug
• Magento Open Source: 2.4.6-2026-aug, 2.4.7-2026-aug, 2.4.8-2026-aug e 2.4.9-2026-aug

É disponibilizado como hotfix composer VULN-39341, e não como uma nova release. O hotfix foi testado apenas nas versões -2026-aug listadas [2].

A exploração é remota e não requer autenticação, privilégios nem interação do utilizador. O atacante obtém execução de código arbitrário no servidor, com os privilégios do utilizador que executa a aplicação, o que permite o comprometimento total da instalação, incluindo o acesso à base de dados, aos dados de clientes e às credenciais armazenadas. A vulnerabilidade está a ser ativamente explorada [1][2].

A mitigação exige duas ações combinadas: a aplicação do hotfix VULN-39341 e a alteração das credenciais. A alteração das credenciais não é opcional, uma vez que a chave de encriptação protege tokens de integração, credenciais de gateways de pagamento e tokens de automação com privilégios de sistema, e alterar apenas essa chave não invalida credenciais já expostas [2].

Sequência recomendada pelo fabricante [2]:

1. Aplicar o hotfix VULN-39341
2. Ativar o modo de manutenção e desativar a execução do cron
3. Alterar as chaves de encriptação
4. Alterar as palavras-passe de todos os utilizadores do painel de administração
5. Desativar e regerar todos os tokens de integração REST, SOAP e GraphQL
6. Alterar os secrets OAuth das aplicações de terceiros ligadas
7. Alterar as credenciais de API dos gateways de pagamento junto do respetivo prestador, e não apenas no Commerce
8. Alterar as credenciais da base de dados, as chaves SSH e de deploy, e as credenciais das contas de serviço com privilégios de sistema
9. Alterar as chaves de API das extensões de terceiros
10. Limpar a cache, reativar o cron e desativar o modo de manutenção

Medidas adicionais recomendadas:

• Nas instalações Adobe Commerce on Cloud, confirmar a aplicação do hotfix através da Quality Patches Tool, executando vendor/bin/magento-patches -n status | grep "39341|Status" e verificando o estado "Applied" [2];
• Dado que a exploração antecede a disponibilização do hotfix, tratar as instalações expostas como potencialmente comprometidas: analisar os logs de acesso, procurar ficheiros e processos não reconhecidos, verificar tarefas de cron não autorizadas e validar a integridade dos ficheiros da aplicação [1][4];
• Procurar evidências da primeira fase da exploração em var/report/ e em var/log/system.log [4];
• Investigar volumes anómalos de emails "Payment Transaction Failed Reminder", em particular mensagens em que as variáveis do template não foram resolvidas, apresentando tags {{var ...}} em bruto [4].

[1] - https://helpx.adobe.com/security/products/magento/apsb26-146.html
[2] - https://experienceleague.adobe.com/en/docs/commerce-knowledge-base/kb/announcements/commerce-apsb26-146
[3] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-75650
[4] - https://thehackernews.com/2026/09/adobe-patches-magento-zero-day.html