Uma vulnerabilidade crítica capaz de permitir que criminosos executem código em servidores de comércio eletrônico sem precisar de autenticação colocou lojas baseadas em Adobe Commerce e Magento Open Source em alerta máximo.
A falha CVE-2026-75650 foi adicionada em 8 de setembro de 2026 ao catálogo de vulnerabilidades conhecidas como exploradas da CISA, o Known Exploited Vulnerabilities (KEV).
A Adobe também confirmou que está ciente de exploração da vulnerabilidade no mundo real contra comerciantes que utilizam Adobe Commerce.
O problema recebeu a pontuação máxima:
CVSS 10,0 — CRÍTICA.
A combinação é particularmente preocupante: exploração remota, baixa complexidade, nenhuma autenticação necessária, nenhuma interação da vítima e impacto potencial elevado sobre confidencialidade, integridade e disponibilidade.
Adobe trata o caso como zero-day
A Adobe publicou em 7 de setembro o boletim emergencial APSB26-146, apenas um dia antes da inclusão da vulnerabilidade no catálogo da CISA.
A documentação da empresa descreve o incidente como uma vulnerabilidade zero-day no Adobe Commerce.
Isso significa que a falha já representava ameaça antes de uma correção amplamente disponível proteger os clientes.
Para lojas virtuais, o risco é especialmente elevado porque servidores de comércio eletrônico frequentemente ficam diretamente expostos à internet.
Falha está no mecanismo de templates
A CVE-2026-75650 é classificada como:
CWE-1336 — Improper Neutralization of Special Elements Used in a Template Engine.
Em termos simplificados, o problema ocorre quando elementos controlados externamente não são neutralizados corretamente antes de serem processados por um mecanismo de templates.
Um template engine normalmente serve para combinar estruturas predefinidas com conteúdo dinâmico.
É assim que aplicações conseguem gerar páginas, mensagens e diferentes componentes utilizando informações que mudam de acordo com cada situação.
O perigo aparece quando uma entrada maliciosa consegue ser interpretada como uma instrução que o sistema deveria executar.
Resultado pode ser execução arbitrária de código
Segundo a Adobe, a vulnerabilidade pode resultar em arbitrary code execution.
Isso significa que um atacante pode tentar fazer o servidor executar código escolhido por ele dentro do contexto vulnerável.
E existe um detalhe decisivo:
não é necessário possuir credenciais para explorar a falha.
Também não é necessário convencer um administrador a abrir um arquivo ou clicar em um link.
O vetor é pela rede.
A complexidade é considerada baixa.
Não há necessidade de interação do usuário.
Essas características ajudam a explicar o CVSS 10.
StyleSmuggler já está sendo explorada
A vulnerabilidade também passou a ser chamada de StyleSmuggler por pesquisadores de segurança.
Mais importante do que o nome, entretanto, é o status.
A Adobe afirma estar ciente de exploração no mundo real.
A CISA adicionou a CVE ao KEV.
Portanto, empresas não devem tratar o problema como uma vulnerabilidade hipotética que poderá ser explorada no futuro.
A exploração já começou.
Quais versões estão vulneráveis?
O alcance é amplo.
No Adobe Commerce, são afetadas as linhas:
2.4.9-2026-aug e anteriores;
2.4.8-2026-aug e anteriores;
2.4.7-2026-aug e anteriores;
2.4.6-2026-aug e anteriores;
2.4.5-2026-aug e anteriores;
2.4.4-2026-aug e anteriores.
No Adobe Commerce B2B, aparecem como afetadas diferentes versões das famílias 1.3.3 até 1.5.3, conforme especificado pelo boletim.
No Magento Open Source, estão entre as versões afetadas as famílias:
2.4.6;
2.4.7;
2.4.8;
2.4.9,
incluindo os releases de agosto indicados pela Adobe.
Isso significa que simplesmente manter uma instalação relativamente recente não é garantia de proteção.
Adobe disponibilizou hotfix específico
A correção emergencial é distribuída por meio do patch VULN-39341.
A orientação da Adobe é aplicar o hotfix correspondente à versão instalada.
A atualização vale para ambientes:
Adobe Commerce Cloud;
Adobe Commerce on-premises;
e Magento Open Source.
A empresa classificou o boletim com prioridade 1, seu nível mais urgente de atualização.
Apenas instalar o patch não encerra o trabalho
Existe um detalhe particularmente importante na orientação da Adobe.
A empresa recomenda não apenas aplicar o patch, mas também:
rotacionar as chaves de criptografia.
Essa recomendação ganha enorme importância quando existe exploração ativa.
Uma correção impede novas explorações da vulnerabilidade conhecida.
Mas ela não desfaz automaticamente aquilo que um atacante possa ter feito antes.
Por que rotacionar chaves?
Imagine que um invasor conseguiu acessar informações sensíveis enquanto o sistema ainda estava vulnerável.
Depois disso, a empresa instala o patch.
A porta original foi fechada.
Mas se o criminoso já obteve uma chave, token ou outro segredo reutilizável, ele pode continuar tendo alguma capacidade de acesso.
É por isso que resposta a incidentes não pode ser reduzida a:
“instalamos o patch, problema resolvido”.
Em determinadas situações, credenciais e segredos também precisam ser substituídos.
Comércio eletrônico é um alvo extremamente atraente
Uma loja virtual concentra informações e processos de alto valor.
Contas de clientes.
Pedidos.
Dados pessoais.
Integrações de pagamento.
Tokens.
APIs.
Sistemas administrativos.
Informações comerciais.
Integrações com ERPs.
Credenciais de serviços.
Tudo isso torna plataformas de e-commerce particularmente atraentes para criminosos.
Magento possui histórico de ataques contra checkout
O ecossistema Magento já foi alvo de inúmeras campanhas de web skimming, frequentemente associadas ao termo Magecart.
Nesse tipo de ataque, criminosos modificam páginas de checkout para capturar informações inseridas por clientes.
Dependendo do ambiente, isso pode envolver dados pessoais ou informações relacionadas a pagamentos.
Mas existe uma precisão importante:
não há base para afirmar que toda exploração da CVE-2026-75650 esteja sendo utilizada para instalar skimmers.
A execução de código oferece diferentes possibilidades ao atacante.
O objetivo final dependerá da campanha.
Atacante pode buscar persistência
Uma vez obtida execução de código em um servidor, o invasor pode tentar ampliar o comprometimento.
Por exemplo:
instalar backdoors;
criar usuários;
alterar arquivos;
roubar credenciais;
capturar segredos;
modificar páginas;
acessar bancos de dados;
movimentar-se para outros sistemas;
ou estabelecer persistência.
As possibilidades concretas dependem das permissões obtidas e da arquitetura da organização.
Por isso, o impacto não pode ser determinado apenas pela existência da CVE.
Um e-commerce comprometido também ameaça clientes
Esse tipo de vulnerabilidade possui uma característica diferente de uma falha em um computador pessoal.
O servidor vulnerável atende milhares de usuários.
Se um criminoso consegue modificar a aplicação, ele pode potencialmente transformar um site legítimo em vetor para novos ataques.
A vítima deixa de ser apenas a empresa.
Consumidores também podem entrar na cadeia de risco.
O caso lembra a importância da cadeia digital
Lojas modernas raramente são sistemas isolados.
Elas se conectam a:
gateways de pagamento;
transportadoras;
ERPs;
CRMs;
plataformas de marketing;
antifraude;
marketplaces;
sistemas fiscais;
APIs;
serviços de nuvem;
e ferramentas de analytics.
Quanto maior o número de integrações, maior a importância de impedir que o comprometimento inicial se transforme em movimentação lateral.
CISA estabeleceu prazo até 11 de setembro
Ao incluir a vulnerabilidade no catálogo KEV em 8 de setembro, a CISA estabeleceu 11 de setembro de 2026 como prazo de remediação aplicável às organizações federais americanas abrangidas pelas determinações correspondentes.
É um intervalo extremamente curto.
Três dias.
Isso reforça a gravidade atribuída à vulnerabilidade.
Mas é importante interpretar corretamente esse prazo.
Prazo da CISA não vale para todas as empresas
Uma loja brasileira utilizando Magento não passa automaticamente a ter uma obrigação legal americana de corrigir a vulnerabilidade até 11 de setembro.
O prazo é direcionado ao universo de organizações federais dos Estados Unidos abrangidas pelas regras da CISA.
Para empresas privadas e organizações de outros países, entretanto, a inclusão no KEV é um forte indicador de prioridade operacional.
Em outras palavras:
não é necessário ser obrigado pela CISA para entender que a atualização é urgente.
Empresas brasileiras precisam verificar imediatamente
Magento possui grande presença no comércio eletrônico mundial e também é utilizado por operações brasileiras.
Administradores, agências, integradores e empresas que mantêm lojas na plataforma devem identificar:
qual produto utilizam;
qual versão está instalada;
se o hotfix VULN-39341 foi aplicado;
se a rotação das chaves foi concluída;
e se existem evidências de atividade suspeita.
Não basta perguntar:
“meu site está funcionando?”
Um site comprometido pode continuar aparentemente normal.
Site funcionando não significa site seguro
Esse é um dos problemas de ataques contra aplicações web.
Criminosos nem sempre querem derrubar o servidor.
Muitas vezes querem justamente o contrário.
Desejam que ele continue funcionando.
Um invasor interessado em roubar informações pode tentar permanecer silencioso durante semanas.
Quanto menos perceptível for sua presença, maior a possibilidade de continuar coletando dados.
Por isso, disponibilidade não deve ser utilizada como indicador de ausência de comprometimento.
Patch precisa ser acompanhado de investigação
Organizações que mantiveram sistemas vulneráveis expostos à internet durante o período de exploração devem considerar análise forense.
A investigação pode procurar:
arquivos modificados;
código desconhecido;
web shells;
novos usuários;
tarefas agendadas;
alterações administrativas;
conexões externas incomuns;
mudanças em templates;
modificações no checkout;
acessos suspeitos;
e comportamentos inesperados do servidor.
Logs devem ser preservados sempre que possível.
Rotação precisa considerar mais do que uma senha
Dependendo da investigação, pode ser necessário avaliar:
chaves criptográficas;
senhas administrativas;
tokens de API;
credenciais de banco de dados;
segredos de integração;
contas de serviços;
credenciais de cloud;
e outros mecanismos de autenticação acessíveis ao ambiente.
O escopo correto depende do que o atacante conseguiu alcançar.
Sistemas integrados também precisam ser analisados
Se o servidor Magento possui acesso a um ERP, por exemplo, o risco pode não terminar no servidor Magento.
O mesmo vale para integrações com:
CRM;
transportadoras;
estoque;
sistemas financeiros;
serviços de pagamento;
e plataformas internas.
Uma investigação precisa determinar se houve tentativa de movimentação além do ambiente inicialmente vulnerável.
O patch de setembro não deve ser confundido com o hotfix
Existe ainda uma particularidade importante no calendário da Adobe.
A companhia também publicou seu conjunto regular de atualizações de segurança de setembro para Adobe Commerce e Magento.
Entretanto, a própria documentação destaca que o hotfix da CVE-2026-75650 deve ser aplicado adicionalmente.
Ou seja, administradores não devem presumir que instalar outra atualização de setembro automaticamente resolveu a StyleSmuggler.
É necessário verificar especificamente a mitigação indicada para a CVE.
A falha reúne quase todos os sinais de máxima prioridade
Equipes de segurança normalmente precisam decidir quais vulnerabilidades corrigir primeiro.
Nem toda CVE crítica está sendo explorada.
Nem toda falha explorada possui impacto máximo.
Nem todo sistema vulnerável está exposto.
Neste caso, porém, vários fatores se acumulam:
CVSS 10.0.
Execução de código.
Sem autenticação.
Sem interação do usuário.
Baixa complexidade.
Aplicação acessível pela internet.
Exploração confirmada pela Adobe.
Inclusão no KEV da CISA.
Essa combinação coloca a CVE-2026-75650 no grupo de vulnerabilidades que devem ultrapassar filas normais de patching.
Ainda não sabemos toda a dimensão dos ataques
A confirmação de exploração não responde a todas as perguntas.
Até o momento, as informações públicas não permitem afirmar com segurança:
quantas lojas foram comprometidas;
quais países são os mais atingidos;
quem são os atacantes;
qual grupo iniciou a exploração;
se existe campanha de ransomware associada;
quantos dados foram roubados;
ou qual é o objetivo predominante dos invasores.
Esses detalhes podem surgir conforme empresas de segurança analisarem novos incidentes.
Não é correto chamar automaticamente de ransomware
Uma vulnerabilidade que permite execução de código pode eventualmente ser utilizada por operadores de ransomware.
Mas isso não significa que a falha seja uma “vulnerabilidade de ransomware”.
O mesmo acesso pode ser utilizado para:
espionagem;
roubo de dados;
fraude;
web skimming;
criptomineração;
venda de acesso;
botnets;
ou outros objetivos.
Sem atribuição técnica, não é possível determinar a motivação.
CISA não adiciona CVEs ao KEV apenas pelo CVSS
Esse é outro ponto importante.
Uma vulnerabilidade não entra no catálogo simplesmente porque recebeu nota 10.
O catálogo foi criado para destacar falhas com evidências de exploração conhecida.
Existem vulnerabilidades críticas que nunca entram no KEV.
Portanto, a presença da StyleSmuggler no catálogo possui significado operacional muito maior do que sua pontuação isoladamente.
A janela para atualização já começou a fechar
O boletim da Adobe foi publicado em 7 de setembro.
A CISA incluiu a vulnerabilidade no KEV no dia seguinte.
Atacantes já estão explorando o problema.
Isso significa que administradores não possuem o luxo de esperar pelo próximo ciclo mensal de manutenção.
A prioridade agora é:
corrigir, rotacionar e investigar.
Primeiro, aplicar o hotfix correspondente.
Depois, rotacionar as chaves recomendadas.
E finalmente verificar se alguém conseguiu explorar o sistema antes da correção.
Para o e-commerce, a confiança também está em jogo
Uma vulnerabilidade desse tipo não é apenas um problema técnico.
Consumidores fornecem informações a lojas virtuais porque confiam que o site que aparece no navegador é realmente controlado pela empresa.
Se criminosos assumem parte da aplicação, essa confiança pode ser utilizada contra o próprio cliente.
É por isso que vulnerabilidades em mecanismos centrais de plataformas de comércio eletrônico possuem impacto potencial tão grande.
O alerta da imagem está correto — e a situação é ainda mais séria
A publicação compartilhada acerta os pontos centrais.
A CISA realmente adicionou a CVE-2026-75650 ao catálogo de vulnerabilidades exploradas.
A falha realmente atinge Adobe Commerce e Magento Open Source.
E o problema realmente está relacionado ao tratamento inadequado de elementos dentro de um template engine.
Mas há um detalhe ainda mais importante:
a própria Adobe confirmou exploração no mundo real e classificou a atualização como prioridade máxima.
Para qualquer organização que administra uma instalação vulnerável, portanto, a discussão deixou de ser sobre a probabilidade de alguém tentar explorar a falha.
Essa tentativa já está acontecendo.
E em uma plataforma que processa vendas, clientes, integrações e dados empresariais, uma vulnerabilidade de execução remota sem autenticação pode transformar uma única loja vulnerável em uma porta de entrada para um incidente muito maior.
