APSB26-138: el parche de septiembre de Magento no contiene la corrección del zero-day

Adobe publicó dos parches de seguridad de Magento en dos días. La corrección de emergencia para el zero-day StyleSmuggler salió el lunes 7 como APSB26-146. El boletín mensual programado, APSB26-138, llegó el martes.

Aplicar uno no aplica el otro. De las notas de versión de Adobe:

The APSB26-146 hotfix for CVE-2026-75650 is not included in the September Isolated patch file. You must apply the hotfix first, then apply the Isolated patch.

El hotfix, y después el parche mensual. Una tienda que solo tomó la actualización del martes sigue abierta al fallo que la gente está explotando de verdad.

APSB26-146: el zero-day ya tiene CVE

El zero-day sobre el que escribimos el 6 de septiembre es CVE-2026-75650. Adobe publicó el boletín al día siguiente con prioridad 1, el nivel que significa parchear en 72 horas.

Un 10,0 es el máximo de la escala, y no se ven muchos. El vector de Adobe es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H: remoto, fácil, sin credenciales, nada en lo que nadie tenga que hacer clic, y escapa del componente en el que empieza.

CISA lo añadió al catálogo de vulnerabilidades explotadas conocidas el día 8 y dio a las agencias federales hasta el día 11. Tres días. También lo marcaron para triaje forense bajo la BOD 26-04, una marca que aparece en 48 de las 1.703 entradas del catálogo.

Qué archivo de hotfix necesita depende de su nivel de parche:

Adobe amplió esa cobertura después de la primera publicación. La nota dice ahora que el hotfix es «compatible with all the Adobe Commerce and Magento Open Source versions between 2.4.4 - 2.4.7», así que por una vez una tienda en un nivel de parche antiguo no tiene que ponerse al día antes de poder tomar la corrección. Por debajo de 2.4.4, la cronología de Sansec registra que Scandiweb lo portó a una larga lista de versiones antiguas.

Compruebe que ha entrado con la Quality Patches Tool:

vendor/bin/magento-patches -n status | grep "39341\|Status"

Qué hay en APSB26-138

Ocho CVE. La tabla de vulnerabilidades de Adobe marca los ocho como críticos, mientras el resumen de encima dice críticas, importantes y moderadas. Fíese de la tabla.

Seis de los ocho no necesitan credenciales. Los dos 9,3 son XSS almacenado en campos de formulario: alguien envía el script, y se ejecuta más tarde en el navegador de quien abra ese registro. En Magento eso suele ser un admin.

Nada de este conjunto es ejecución remota de código, y Adobe no reporta explotación de ninguno. Prioridad 2, el nivel de 30 días. Dedicamos una sección a discutir esa calificación el mes pasado y esta vez la dejaremos estar. El fallo estrella de agosto era un secuestro de cuenta que no necesitaba iniciar sesión. Estos están un peldaño por debajo.

Versiones afectadas:

• 2.4.9-2026-aug y anteriores
• 2.4.8-2026-aug y anteriores
• 2.4.7-2026-aug y anteriores
• 2.4.6-2026-aug y anteriores
• 2.4.5-2026-aug y anteriores
• 2.4.4-2026-aug y anteriores

Adobe Commerce B2B de 1.3.3 a 1.5.3 está en la misma lista en el mismo nivel de parche.

Esos son los niveles de parche de agosto, no números de versión. Haber parcheado el mes pasado no le quita de la lista.

Las dos tablas de Adobe no coinciden entre sí en Open Source. Las versiones corregidas bajan hasta 2.4.4 para Adobe Commerce; para Magento Open Source paran en 2.4.7, mientras la columna de afectadas baja hasta 2.4.6. La nota de descarga dice lo mismo desde el otro lado: los comerciantes de Open Source solo pueden obtener parches para 2.4.7 y posteriores. En Open Source 2.4.6, no hay parche de septiembre para usted.

Aplicarlos: hotfix, después julio, agosto y septiembre

Los parches aislados se apilan. Sam James, en su artículo sobre la publicación de este mes: «Isolated patches stack, so 2026-09-001 will not apply unless 2026-08-001 is already on».

Para una tienda Community Edition en 2.4.6-p15 eso significa el hotfix, después 246p15-2026-07-001-CE, después -08-001-CE, después -09-001-CE. Enterprise pone su archivo -EE después de cada archivo CE. B2B añade el suyo después de eso. Todo ello da por hecho que está en la última versión -p de su línea, que es la única build contra la que Adobe probó cualquiera de estos.

El archivo de 2.4.6 pasó a estar detrás de las claves de Composer este mes. En agosto era una descarga directa; la URL de septiembre redirige a la ruta autenticada. Cuando el navegador lo pida, su clave pública es el usuario y su clave privada la contraseña, el mismo par que ya está en auth.json.

Las tiendas Cloud reciben septiembre a través del paquete de cloud patches. Adobe advierte de que aplicar el parche aislado encima de una actualización de cloud-patches que ya lleva la corrección puede hacer fallar la instalación.

Averigüe qué está ejecutando en realidad

Adobe publicó una herramienta para esto en julio y apenas la mencionó. La Commerce Version Tool vive en vendor/bin/patch-status e imprime lo que está aplicado, lo que falta y un veredicto por CVE de PROTECTED, VULNERABLE o UNKNOWN:

php vendor/bin/patch-status

Que no exista el comando significa que todavía no la tiene. Viene dentro del parche aislado de julio de 2026, empezando por el archivo de Community Edition de su línea, así que julio está en su lista en cualquier caso.

Ejecútelo contra producción. Un checkout local le dice lo que alguien pretendía desplegar.

Pruebe estos flujos en staging

Sam James encontró tres cambios de comportamiento en el parche de este mes que no se anuncian:

• PayPal Express como invitado. Cuando el quote en juego no es el de la sesión y el cliente no ha iniciado sesión, setPayPalQuoteId ahora se salta en silencio. Lleve un pedido de invitado hasta el final.
• GraphQL en instalaciones multisitio. Tokens que funcionaban antes pueden volver como contexto anónimo en cuentas con ámbito de sitio web cuando la cabecera Store no se gestiona bien.
• Rollback de copias de seguridad. Magento_Backup::rollback es un recurso ACL nuevo y hay que concederlo. Los roles de admin personalizados pierden el rollback hasta que alguien lo marca.

Añada el correo a esa lista por su cuenta. El hotfix cambia cómo se gestionan las directivas de plantilla, así que los correos transaccionales, las vistas previas de plantillas en el admin y cualquier código a medida que renderice una plantilla son donde este muerde.

Mage-OS lo recibe como una sola release

Mage-OS 3.5.0 llegó el 8 de septiembre con todo en un solo cambio de versión: el hotfix de Adobe, el contenido de APSB26-138, cuatro correcciones de errores no relacionadas y un refuerzo que Adobe no publicó. Una lista de denegación que se comprueba cuando una directiva {{block}} instancia una clase. La salida resuelta de las directivas neutralizada, para que una pasada de filtrado posterior no pueda volver a leerla como código de plantilla. Un SecurePathValidator que ancla las rutas de inclusión a la raíz de la aplicación.

Un composer update en lugar de cuatro archivos de parche, entonces. Las notas de la versión también listan lo que rompe el refuerzo:

• Las vistas previas de plantillas de correo ahora requieren Magento_Email::template, Magento_Newsletter::template o Magento_Newsletter::queue como recurso ACL explícito.
• Las plantillas transaccionales personalizadas que usan clases de bloque inusuales pueden renderizarse como directivas vacías.
• Los filtros personalizados que dependen de volver a parsear la salida de las directivas dejan de funcionar.
• Las plantillas renderizadas desde fuera de la raíz de la aplicación hay que moverlas.

Si su tienda estuvo accesible entre el 4 y el 7 de septiembre

La primera explotación confirmada por Sansec fue el 4 de septiembre a las 22:20 UTC. La corrección de Adobe salió el día 7 a las 20:20 UTC. De viernes por la noche a lunes por la tarde, que son tres días incómodos para necesitar que alguien esté vigilando.

Parchear ahora no resuelve lo que pasó entonces. La guía de Adobe al respecto es directa:

Rotating the encryption key alone does not invalidate credentials that may already have been exposed. Rotate all associated credentials at their source (for example, at the payment gateway or third-party service), not only within Commerce.

La secuencia que publica Adobe: modo mantenimiento, cron apagado, hotfix aplicado, después la clave de cifrado, todas las contraseñas de admin, todos los tokens de integración REST/SOAP/GraphQL, los secretos de cliente OAuth, las credenciales de la pasarela de pago en el proveedor, las credenciales de base de datos, las claves SSH y de deploy, y las claves de API de terceros para envíos e impuestos. Las tiendas Cloud vuelven a desplegar al final para recoger las nuevas credenciales de base de datos.

Escanee antes de empezar y después de terminar. Los indicadores que publicó Sansec están en nuestro artículo sobre el zero-day. El implante ha cambiado de nombre dos veces desde entonces —[kworker/u:8:0], después fc-cache, después chronyd—, así que busque la entrada del cron y el comportamiento en lugar del nombre del archivo.

Qué hacer esta semana

Aplique el hotfix. Hoy, si no está puesto. Es la única parte de este mes que alguien está explotando activamente.

Después avance por los parches aislados. Julio, agosto, septiembre, en orden, sobre la última versión -p.

Ejecute php vendor/bin/patch-status contra producción y guarde la salida.

Pruebe el checkout como invitado, GraphQL y el correo transaccional en staging antes de que nada de esto se acerque a producción.

Decida si la tienda estuvo expuesta entre el 4 y el 7 de septiembre. Si no puede descartarlo, rote las credenciales.

En una tienda al día, todo eso es más o menos un día. Si nadie puede decirle esta mañana en qué nivel de parche está producción, empiece por ahí: patch-status lo responde en menos de un minuto, y necesita el parche de julio para tener la herramienta.

Emyrix hace trabajo de seguridad en Magento y soporte continuo, incluida la gestión de parches, la investigación y limpieza de compromisos, y trabajo en Adobe Commerce en tiendas que se han quedado atrás. Si quiere que alguien aplique los parches de este mes como es debido, o que compruebe si StyleSmuggler llegó hasta usted, escríbanos.

Fuentes: Boletín de seguridad de Adobe APSB26-138 · Boletín de seguridad de Adobe APSB26-146 · Notas de versión: actualización de seguridad de septiembre de 2026 (APSB26-138) · Notas de versión: actualización urgente para CVE-2026-75650 (APSB26-146) · NVD: CVE-2026-75650 · Catálogo KEV de CISA · Sansec: StyleSmuggler 0-day under active attack · Sam James: StyleSmuggler and September's isolated patch · Mage-OS 3.5.0 emergency security release · Definiciones de severidad y prioridad de Adobe