Adobe ha emitido una advertencia urgente sobre SessionReaper (CVE-2025-54236), una vulnerabilidad crítica en sus plataformas Adobe Commerce y Magento Open Source, consideradas la base de miles de tiendas en línea a nivel mundial. Los investigadores de la firma de seguridad Sansec han catalogado este fallo como uno de los más graves en la historia del producto, lo que lo coloca al nivel de incidentes anteriores como CosmicSting, TrojanOrder, Ambionics SQLi y Shoplift.

El error, de gravedad máxima, afecta directamente la API REST de Commerce y puede ser explotado sin necesidad de autenticación, permitiendo a atacantes secuestrar cuentas de clientes y obtener acceso no autorizado a los sistemas afectados.

Adobe lanza parche de emergencia para SessionReaper

La compañía de software confirmó que liberó un parche de seguridad urgente el 9 de septiembre de 2025, tras haber notificado previamente a clientes seleccionados sobre la actualización el pasado 4 de septiembre.

De acuerdo con Adobe, la explotación exitosa de CVE-2025-54236 podría permitir a un atacante evadir las características de seguridad integradas en Commerce y Magento, con consecuencias críticas como:

• Secuestro de sesiones de usuario.

• Acceso a cuentas de clientes.

• Escalada de privilegios dentro del sistema.

• Explotación de código personalizado o extensiones externas vulnerables.

La empresa asegura que no existen evidencias de explotación activa en la naturaleza hasta la fecha, pero reconoce que la filtración de una revisión inicial la semana anterior podría otorgar a los actores de amenazas una ventaja para el desarrollo de exploits funcionales.

Protección inmediata para usuarios de Adobe Commerce Cloud

Adobe aclaró que los clientes que utilizan Adobe Commerce on Cloud ya cuentan con una regla de firewall de aplicaciones web (WAF) habilitada como medida de mitigación temporal. Sin embargo, para los entornos de instalación local de Adobe Commerce y Magento Open Source, la compañía insiste en la aplicación inmediata del parche oficial.

En palabras del boletín de seguridad:

“Por favor, aplique la revisión lo antes posible. Si no lo hace, será vulnerable a este problema de seguridad y Adobe tendrá medios limitados para ayudar a solucionarlo”.

Riesgo de explotación masiva automatizada

Los investigadores de Sansec advierten que SessionReaper tiene el potencial de ser explotado a gran escala mediante automatización, un escenario que incrementa el riesgo para tiendas medianas y grandes que aún no actualicen sus plataformas.

Según el análisis preliminar, el exploit aprovecha la configuración predeterminada de Magento, que almacena datos de sesión en el sistema de archivos. Este vector, utilizado por la mayoría de las implementaciones, amplía significativamente la superficie de ataque.

Impacto en desarrollos personalizados y extensiones externas

Una de las advertencias más destacadas del parche liberado por Adobe es que la solución implica cambios en la inserción de parámetros del constructor de la API REST de Commerce. Esto podría generar incompatibilidades con código personalizado o extensiones de terceros, afectando la operatividad de algunos comercios electrónicos que dependen de integraciones avanzadas.

Por ello, Adobe recomienda realizar pruebas previas en entornos de staging antes de aplicar la actualización en producción, aunque enfatiza que el riesgo de no actualizar supera con creces cualquier posible inconveniente técnico.

SessionReaper: continuidad de ataques históricos contra Magento

La vulnerabilidad SessionReaper se suma a una lista de fallos críticos en la historia de Magento que han sido explotados de manera masiva en el pasado:

• Shoplift (2015): permitió la ejecución remota de código en miles de tiendas.

• Ambionics SQLi (2022): vulnerabilidad de inyección SQL crítica.

• TrojanOrder (2022): explotado para la instalación de puertas traseras en servidores comprometidos.

• CosmicSting (2024): ataque sofisticado que sentó precedente en el secuestro de sesiones.

Según Sansec, SessionReaper sigue un patrón similar al ataque CosmicSting, aunque con un grado de peligrosidad aún mayor, ya que no requiere credenciales válidas ni interacción previa del usuario.

Recomendaciones para administradores y desarrolladores

Frente a esta amenaza crítica, los expertos en ciberseguridad recomiendan a administradores de plataformas Magento y Adobe Commerce:

1. Aplicar inmediatamente el parche oficial de Adobe.

2. Verificar logs y accesos sospechosos en las últimas semanas para descartar intrusiones.

3. Probar compatibilidad de código personalizado tras la actualización, especialmente en extensiones que interactúan con la API REST.

4. Implementar monitoreo avanzado de sesiones para detectar anomalías en accesos de clientes.

5. Mantener actualizado el WAF y las configuraciones de seguridad del servidor.

SessionReaper exige acción inmediata

La vulnerabilidad CVE-2025-54236 (SessionReaper) es considerada una de las más graves en la historia de Adobe Commerce y Magento, y aunque aún no se ha detectado explotación activa, el riesgo inminente de explotación masiva obliga a los administradores a aplicar la actualización sin demora.

La rapidez con que los atacantes aprovechan vulnerabilidades filtradas refuerza la importancia de adoptar una gestión proactiva de parches, monitoreo constante y políticas de seguridad actualizadas para proteger la infraestructura de comercio electrónico.

Fuente: Bleeping Computer

 Vía:

https://blog.underc0de.org/adobe-commerce-y-magento-vulnerables-a-sessionreaper-cve-2025-54236-parche-critico-disponible/