✨︎ Resumen (TL;DR):
- Sansec detectó una campaña que infectó 953 tiendas online desde julio de 2025, en su mayoría basadas en Magento.
- La variante observada en octubre apareció en 83 comercios y 60 ya habían cargado versiones anteriores del código del mismo operador.
- Actualizar el núcleo no basta: la recuperación también exige eliminar cuentas ilegítimas, puertas traseras y código dejado por la intrusión.
Sansec detectó una campaña que infectó 953 tiendas online desde julio de 2025, principalmente comercios basados en Magento. El código distingue entre visitantes y escáneres de seguridad, y puede ocultar su actividad ante estos últimos, lo que complica comprobar si una tienda quedó limpia.
El informe de Sansec, publicado el 24 de octubre de 2026, sitúa la variante de octubre en 83 tiendas. De ese grupo, 60 ya habían cargado versiones anteriores del código del mismo operador. Ese solapamiento apunta a compromisos persistentes en buena parte de esos comercios.
El código decide qué mostrar a cada visitante
Un cargador JavaScript es un pequeño programa que solicita código adicional. Los atacantes lo colocaron en los bloques de contenido de Magento, y Sansec lo encontró en cms_block, una tabla de la base de datos que alimenta secciones de las páginas del comercio.
La versión observada desde el 23 de octubre recopila características del navegador para detectar automatización. El servidor utiliza esa información para decidir qué devolver a cada visitante.
En una prueba con un navegador automatizado, los investigadores no encontraron contenido añadido, aunque la página respondió correctamente. Ese comportamiento dificulta comprobar si el comercio está limpio.
Otra versión conserva código en el almacenamiento local del navegador y lo ejecuta en visitas posteriores, incluso cuando el dominio externo deja de estar disponible. Sansec todavía no había capturado la carga final de la variante más reciente cuando publicó su investigación.
Parchar Magento no equivale a limpiar la intrusión
El caso de una tienda revisada por Sansec muestra la diferencia. Aunque el núcleo no tenía parches pendientes, el 23 de octubre apareció un nuevo cargador. Durante septiembre, la firma ya había detectado allí una cuenta administrativa ilegítima y una puerta trasera.
Las oleadas anteriores se relacionan con fallas conocidas como PolyShell y SessionReaper. Adobe incluyó la corrección de CVE-2026-48356, asociada con PolyShell, en el boletín APSB26-73, publicado el 14 de julio de 2026.
El boletín APSB25-88, publicado el 9 de septiembre de 2025, aborda CVE-2025-54236, conocida como SessionReaper, y reconoce que esa vulnerabilidad se explotó en ataques reales.
Actualizar cierra vulnerabilidades, pero la recuperación también requiere eliminar los accesos y el código que dejó la intrusión. El protocolo de Adobe recomienda:
- Conservar los registros e investigar cómo ocurrió el ataque.
- Revisar las cuentas administrativas, los archivos y la base de datos.
- Renovar las credenciales y las claves de integración.
- Reforzar la autenticación multifactor.
Adobe pide mantener la vigilancia después de la limpieza porque algunas tiendas vuelven a ser comprometidas en cuestión de horas. Revisar los registros y la integridad de los archivos forma parte de esa recuperación.
