Los atacantes están aprovechando una vulnerabilidad grave denominada StyleSmuggler (CVE-2026-75650) en Adobe Commerce y Magento. Este fallo permite la instalación de una herramienta de acceso remoto oculta llamada PSK Agent en los servidores de tiendas online, lo que otorga a los hackers la capacidad de ejecutar comandos, desviar tráfico y mantener el control del sistema incluso después de reiniciar el servidor.

Los atacantes están abusando de un fallo grave en Adobe Commerce y Magento para instalar una herramienta de acceso remoto oculta llamada PSK Agent en los servidores de tiendas online.

Una vez que está en funcionamiento, pueden ejecutar comandos, rutear el tráfico a través del servidor y mantener el acceso incluso después de un reinicio. El fallo, llamado StyleSmuggler y rastreado como CVE-2026-75650, fue revelado inicialmente como un zero-day a principios de septiembre.

Sansec afirmó que permitía que cualquier persona ejecutara código en una tienda sin necesidad de iniciar sesión, y afectaba a todas las versiones actuales, incluida la 2.4.9. En pocos días, más de un grupo lo estaba utilizando para desplegar diferentes malwares.

Investigadores de Imperva notaron la actividad de PSK Agent tras rastrear una campaña coordinada entre el 9 y el 13 de septiembre de 2026.

Vieron que afectaba a tiendas en Europa Occidental, América del Norte y la región de Asia-Pacífico. El malware tenía una tasa de detección del 0% en VirusTotal en el momento del análisis, por lo que es probable que un escaneo de archivos básico lo hubiera pasado por alto.

Explotan Zero-Day de Adobe Commerce

Los atacantes fueron a por un endpoint, /paypal/transparent/response/, que coincide con el primer paso de StyleSmuggler. En ese paso, el atacante coloca código PHP en la cadena de consulta de la solicitud.

Magento entonces registra el error y escribe ese código en un archivo de informe bajo var/report/. Una segunda solicitud a /graphql utiliza valores de estilo controlados por el atacante para cargar el archivo envenenado y ejecutar el código.

Imperva rastreó cinco clústeres de ataque provenientes de un pequeño conjunto de direcciones IP. Los payloads, casi idénticos, apuntan a herramientas automatizadas que escanean tiendas vulnerables a gran escala.

El enlace de descarga para el primer script, psk_agent.sh, apareció 96 veces en 12 variantes de payload, lo que sugiere que los atacantes siguieron utilizando una ruta de entrega estable.

El payload PHP prueba las funciones shell_exec, system y exec sucesivamente. Si una está bloqueada, pasa discretamente a la siguiente. Luego ejecuta un comando curl que envía el script directamente a bash, por lo que el primer comando nunca toca el disco.

El script de 3.313 bytes busca una carpeta que sea a la vez escribible y ejecutable, como /tmp o /dev/shm. Luego descarga la siguiente etapa con curl, wget o Python y la inicia en segundo plano.

Esa etapa es chi_down, un programa en Go de 10,5 MB fuertemente ofuscado. Puede ejecutar comandos de shell, recopilar detalles del host y proxificar el tráfico a través de SOCKS5.

También se comunica con sus operadores a través de HTTP, HTTPS y canales cifrados. Sus argumentos de lanzamiento, -checkagent=false -maintain=true, sugieren que está diseñado para sobrevivir a los reinicios.

Balizas DNS, Webshells y Signos de un Operador de Habla China

Algunos payloads también avisaban a los atacantes cuando un ataque funcionaba. El código colocaba el nombre del host de la víctima en un subdominio único bajo 0f851bdc9d.ddns.1433.eu.org y luego realizaba tanto una solicitud HTTP como una DNS.

Los atacantes controlaban los servidores DNS, por lo que la búsqueda por sí sola probaba el éxito, incluso si la solicitud web fallaba. Eso les proporcionaba una lista silenciosa y actualizada de servidores hackeados.

En algunos casos, los operadores añadieron una segunda vía de acceso. Descargaron t4.php y lo guardaron como zer4.php en carpetas públicas como pub/media/.

Este gestor de archivos de 910 líneas y webshells de PHP similares permitían a los atacantes editar archivos, subir o descargar datos y ejecutar comandos del sistema. Utiliza la Interfaz de Funciones Externas (FFI) de PHP para llamar a libc directamente, lo que puede seguir funcionando cuando las funciones comunes de PHP están desactivadas.

La misma clave AES-256-CBC hardcodeada apareció en cada muestra, lo que insinúa un único operador o un kit de herramientas compartido. Imperva encontró comentarios en idioma chino en el script, con nombres como chinow y chi_down en la infraestructura.

Los investigadores consideran probable que se trate de un operador de habla china, con una confianza moderada. Advierten que las pistas lingüísticas pueden ser plantadas o copiadas, y no nombran a un grupo específico.

También recalcan que esto se aplica solo a PSK Agent, ya que otros atacantes han utilizado el mismo fallo para desplegar un backdoor en Rust y diferentes droppers de PHP.

Si eres dueño de una tienda, deberías aplicar el hotfix VULN-39341 de Adobe. Sin embargo, eso solo cierra el punto de entrada. No elimina un RAT, una webshell o credenciales robadas que hayan sido plantadas previamente.

Un servidor con cualquiera de estos signos debe ser tratado como totalmente comprometido. Busca psk_agent.sh, chi_down, zer4.php y nombres de procesos falsos como kworker, fc-cache y chronyd.

Rota la clave de cifrado de Magento, los inicios de sesión de la base de datos, las credenciales de administrador, los tokens de API y las claves SSH. Vigila las búsquedas DNS al dominio de la baliza y los servidores web que realicen conexiones salientes inesperadas.

Zscaler también vio parte de la misma infraestructura de descarga en ataques a Citrix NetScaler, pero ese solapamiento es solo una pista y no prueba que el mismo actor esté detrás de ambos.

Las tiendas Magento han sido durante mucho tiempo un objetivo favorito. Una campaña pasada mostró lo rápido que pueden propagarse las cosas, cuando el fallo CosmicSting afectó a miles de tiendas.

Parchear rápidamente y comprobar si hubo compromisos previos siguen siendo las mejores defensas. El desglose técnico completo está en el blog de investigación de Imperva.