Una vulnerabilidad crítica de subida de archivos sin restricciones, denominada “PolyShell,” está siendo explotada activamente en tiendas de Magento y Adobe Commerce.

Descubierta por el equipo de Forense de Sansec, esta falla permite a atacantes no autenticados ejecutar código remoto (RCE) y tomar el control total de las cuentas.

Sin un parche oficial disponible para entornos de producción, los hackers han estado realizando ataques automatizados masivos contra plataformas de comercio electrónico vulnerables desde mediados de marzo de 2026.

Vulnerabilidad PolyShell Explotada

El exploit PolyShell apunta a la API REST de Magento, específicamente a las rutas de carrito de invitado anónimo. Esto permite a los actores de amenazas eludir por completo la autenticación.

Cuando una opción de producto está configurada para aceptar archivos, Magento procesa datos de archivos codificados en base64 y los escribe directamente en el directorio pub/media/custom_options/quote/ del servidor.

La vulnerabilidad existe porque el sistema carece de tres comprobaciones de seguridad críticas:

• Sin validación de ID de opción: El ID de opción enviado nunca se verifica contra las opciones reales del producto.
• Sin restricción de tipo de opción: La lógica de subida de archivos se activa independientemente de si el producto tiene realmente una opción de tipo archivo.
• Sin restricción de extensión de archivo: Extensiones ejecutables como .php y .phar no están bloqueadas, confiando solo en una validación de encabezado de imagen fácilmente evadible.

Sansec observó escaneos automatizados masivos en busca de esta vulnerabilidad a partir del 19 de marzo de 2026, con más de 50 direcciones IP atacando el 23% de las tiendas protegidas.

Los atacantes están desplegando archivos políglotas, que son imágenes GIF o PNG válidas que contienen secretamente código PHP ejecutable.

Los atacantes utilizan principalmente dos tipos de payloads maliciosos para comprometer servidores.

El primero es una webshell autenticada por cookies que depende de la verificación de hash MD5 a través de una cookie llamada d, usando a menudo nombres de archivo como index.php, bypass.php y c.php.

La segunda variante es una shell RCE protegida por contraseña que utiliza verificación de hash MD5 doble y pasa comandos directamente al sistema, comúnmente dejada como archivos como rce.php o mikhail.html.

Los actores de amenazas a veces usan ofuscación Unicode en estos nombres de archivo para ocultar sus huellas de escáneres de seguridad básicos.

Versiones Afectadas y Estrategias de Mitigación

El código vulnerable ha existido desde el primer lanzamiento de Magento 2. Aunque Adobe parcheó el problema en la rama pre-lanzamiento 2.4.9-alpha3 como parte de APSB25-94, las tiendas de producción actuales siguen altamente expuestas.

La gravedad de la vulnerabilidad depende de la versión específica del software y la configuración del servidor. La falla de subida de archivos sin restricciones afecta a todas las versiones de Magento Open Source y Adobe Commerce hasta la 2.4.9-alpha2.

Además, el cross-site scripting (XSS) almacenado afecta a todas las versiones anteriores a la 2.3.5, así como a entornos con configuraciones de servidor personalizadas.

Los riesgos de ejecución remota de código varían según el servidor web, afectando específicamente a configuraciones predeterminadas de Nginx (por ejemplo, versiones 2.0.0 a 2.2.x) y servidores Apache que carecen de restricciones PHP específicas.

El equipo de Forense de Sansec aconseja a los administradores tomar medidas defensivas inmediatas hasta que se lance un parche oficial de producción.

Las organizaciones deben implementar un Firewall de Aplicaciones Web (WAF) para bloquear intentos de explotación en tiempo real. Además, los administradores deben restringir el acceso del servidor web al directorio pub/media/custom_options/.

Para Nginx, esto requiere un bloque location con deny all que no sea anulado por coincidencias de expresiones regulares de PHP, mientras que los servidores Apache necesitan reglas estrictas en .htaccess. Se recomienda a los equipos de seguridad escanear activamente sus entornos en busca de webshells ocultas para detectar compromisos.