StyleSmuggler y BlockStrap en Magento 2: parchea antes del Black Friday

Si tu tienda Magento 2 no tiene instalados el hotfix VULN-39341 de septiembre (StyleSmuggler) ni el parche aislado de octubre APSB26-153 (BlockStrap), está expuesta a dos fallos con la puntuación máxima, CVSS 10.0. Los dos permiten que alguien sin cuenta ejecute código en tu servidor. No basta con uno de los dos: son correcciones distintas y hacen falta ambas. También tienes que actualizar PHP por PHP2Shell y comprobar que la tienda no estaba ya infectada antes del parche. Con el Black Friday el 27 de noviembre, te quedan poco más de dos semanas para hacerlo con calma y no en plena campaña.

Qué son StyleSmuggler y BlockStrap y por qué afectan a tu Magento 2

StyleSmuggler (CVE-2026-75650): el zero-day de septiembre

Según el análisis de Sansec, los ataques empezaron el 4 de septiembre de 2026, antes de que existiera un parche. El atacante esconde código PHP en un fichero que Magento genera solo (por ejemplo, un informe de error en var/report/). Después lo ejecuta mediante una petición a /graphql que abusa del motor de plantillas de email. Adobe sacó el hotfix de emergencia el 7 de septiembre en el boletín APSB26-146, con prioridad 1. Las tiendas comprometidas recibieron un implante escrito en Rust que se hace pasar por procesos del sistema. Un segundo grupo de atacantes dejó además web shells en PHP dentro de la caché de imágenes de producto.

BlockStrap (CVE-2026-103849): el hueco que dejó el primer arreglo

El 13 de octubre Adobe publicó APSB26-153, con 11 vulnerabilidades. La más grave es BlockStrap, una inyección en el mismo motor de plantillas de email que aprovecha un hueco que el arreglo de StyleSmuggler no cerró. BleepingComputer recoge que Sansec encontró cuatro formas de explotarlo en menos de 24 horas. Adobe le puso prioridad 2 (parchear en 30 días) y dijo no conocer ataques activos. Sansec no está de acuerdo con esa prioridad: recuerda que StyleSmuggler empezó a explotarse de forma masiva en tres días. Y lo resume así: «BlockStrap y StyleSmuggler son arreglos separados. Necesitas los dos».

Lo importante para un gerente: no hace falta que nadie tenga tu contraseña de administrador. Basta con que la tienda esté publicada en Internet y sin parchear.

Qué versiones de Magento 2 están afectadas y qué parche te toca

APSB26-153 afecta a Adobe Commerce de la 2.4.4 a la 2.4.9, a Adobe Commerce B2B de la 1.3.3 a la 1.5.3 y a Magento Open Source de la 2.4.6 a la 2.4.9, en las versiones de septiembre de 2026 y anteriores (resumen del boletín; el oficial está en el centro de seguridad de Adobe). Esto es lo que toca hacer según tu versión:

Lo de la 2.4.6 es lo que más dudas está generando. El parche de octubre para la 2.4.6-p15 solo está disponible para quien tiene licencia de Adobe Commerce, así que una tienda en Open Source 2.4.6 no tiene forma oficial de cerrar BlockStrap. Ya explicamos cómo dar ese salto en nuestra guía sobre Magento 2.4.6 sin soporte y cómo actualizar a 2.4.8 o 2.4.9. Si vienes de versiones más antiguas, tienes los pasos en actualizar Magento 2.

Cómo aplicar el parche de seguridad de octubre en Magento 2, paso a paso

Esto lo hace tu equipo técnico o tu agencia, pero conviene que sepas qué pedir y qué comprobar:

1. Identifica la versión exacta, incluido el sufijo -p (por ejemplo, 2.4.8-p3). Cada versión lleva su propio paquete. Si aplicas el que más se parece en lugar del tuyo, el parche puede fallar o quedar a medias.
2. Haz una copia completa del código y la base de datos y trabaja primero en un entorno de pruebas (staging). Ten preparado cómo volver atrás.
3. Aplica antes los parches mensuales anteriores (julio y agosto) en orden. Cada parche aislado parte del anterior: si te saltas uno, el de octubre puede no entrar.
4. Instala el hotfix VULN-39341 (VULN-39341-composer-patches.zip, de repo.magento.com) y comprueba que está aplicado con vendor/bin/magento-patches -n status | grep "39341\|Status".
5. Aplica el parche de octubre de tu versión: primero los ficheros CE, luego EE y al final B2B, y solo los de los módulos que tengas instalados. En Adobe Commerce Cloud sigue el procedimiento de cloud-patches, porque poner el parche aislado encima puede dar errores.
6. No te fíes de un simple composer install. Sansec avisa de que no basta: confirma que los parches están realmente aplicados.
7. Prueba lo que toca el parche: emails transaccionales (pedido, envío, pago fallido, recuperar contraseña), checkout con cada método de pago y, si usas Hyvä o un frontal headless, las llamadas GraphQL.
8. Despliega en producción en horas de poco tráfico y repite las pruebas en la tienda real.

En una tienda con mantenimiento al día y pocas extensiones, todo el proceso suele llevar unas horas. Si hay muchos módulos de terceros, una versión antigua o código tocado a mano en el núcleo, tardarás más. Ahí está el riesgo de dejarlo para la semana del Black Friday.

El parche no limpia: cómo saber si tu Magento ya está hackeado

Este es el punto que más se olvida. El hotfix evita ataques nuevos, pero no detecta ni elimina una intrusión anterior. Si tu tienda estuvo sin parchear entre el 4 y el 7 de septiembre (o más tiempo), revísala. Esta lista sale de los indicadores que publicó Sansec:

• Tareas programadas raras: revisa el crontab del usuario web, incluido el fichero de spool. El implante se reinstalaba con entradas como 13,43 * * * *.
• Procesos camuflados llamados fc-cache, chronyd o [kworker/u:8:0] que se ejecutan con el usuario de la tienda, y ficheros extraños en /tmp o en ~/.cache/fontconfig/.
• Ficheros PHP en la carpeta de medios: ahí no debería haber ninguno. Búscalos con find -L pub/media -type f -name '*.php'. Uno de los atacantes usaba rutas como pub/media/catalog/product/cache/ss_.../sync_....php.
• Skimmers en la configuración: revisa el campo design/head/includes de core_config_data por si hay scripts externos que no reconozcas. Es donde se inyectaba el robo de tarjetas.
• Tráfico de salida sospechoso por UDP 123 (falso NTP) hacia dominios que no son los servidores de hora de tu proveedor.
• Logs: busca x_trace_ en var/report/ y excepciones de Laminas\Loader\Exception\InvalidArgumentException en var/log/exception.log.

Si encuentras algo, no basta con borrar el fichero: puede haber más de una puerta trasera. Hay que limpiar el servidor entero y luego cambiar todas las credenciales (administradores, tokens de integración, claves de la pasarela de pago, base de datos, SSH). Como explica Gridinsoft, cambiar la clave de cifrado de Magento no invalida los secretos que el atacante ya haya leído. Cada credencial hay que revocarla en el servicio que la emitió.

PHP2Shell: actualiza también PHP en el servidor de tu tienda

El 21 de octubre PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Son dos fallos críticos del propio intérprete, no de Magento, así que ningún parche de Adobe los arregla. WeltPixel explica cómo comprobarlo y qué preguntar al hosting. Muchas distribuciones aplican el arreglo sin cambiar el número de versión, así que pide al proveedor que te confirme qué CVE están corregidos. Si sigues en PHP 8.2, recuerda que pierde el soporte el 31 de diciembre: lo contamos en PHP 8.2 sin soporte: qué hacer con tu Magento 2.

Si no puedes parchear hoy: medidas temporales

• Parche virtual en el WAF: Fastly añadió una regla para BlockStrap. Si ya tenías activado su parche virtual de StyleSmuggler, la protección contra BlockStrap se aplica sola. Cloudflare e Imperva también publicaron reglas para StyleSmuggler.
• Restringir GraphQL: fue lo primero que recomendó Sansec para StyleSmuggler. Ojo, porque con Hyvä Checkout, una PWA o un frontal headless puedes dejar de vender.
• Congelar cambios: no instales extensiones nuevas ni hagas despliegues grandes hasta haber parcheado y probado.

Son medidas para ganar unos días. No sustituyen al parche.

Calendario de seguridad Magento antes del Black Friday 2026

Adobe publica sus boletines el segundo martes de cada mes, y el de noviembre cae hoy, 10 de noviembre. Antes de empezar, mira en su centro de seguridad si ha salido uno nuevo que tengas que sumar a la lista.

Preguntas frecuentes

¿Basta con el hotfix de StyleSmuggler para estar protegido?

No. BlockStrap aprovecha un hueco que dejó ese arreglo. Necesitas el hotfix VULN-39341 de septiembre y el parche de octubre APSB26-153, aplicados por ese orden y sobre los parches mensuales anteriores.

Uso Magento Open Source 2.4.6, ¿qué hago?

Puedes instalar el hotfix de StyleSmuggler, pero no hay parche de octubre oficial para Open Source 2.4.6. La única solución completa es actualizar a 2.4.8 o 2.4.9. Mientras tanto, protege la tienda con un WAF con parche virtual y revisa los indicadores de intrusión.

¿Cómo sé si me han hackeado si la tienda funciona con normalidad?

Estos ataques están pensados para no notarse: la tienda sigue funcionando mientras roban datos o tarjetas. Repasa la lista de indicadores de este artículo (crontab, procesos, PHP en pub/media, design/head/includes) o encarga un escaneo profesional del servidor.

¿Cuánto cuesta aplicar los parches?

Depende de la versión, de las extensiones y de si hay que limpiar una intrusión. En una tienda al día suele bastar con unas horas de trabajo. Si necesitas actualizar de versión o limpiar el servidor, el trabajo pasa a ser un proyecto. Tienes cifras orientativas en nuestros precios.

Si no tienes claro qué parches lleva tu tienda, sospechas que puede estar comprometida o no quieres llegar al Black Friday con dudas, en Magento Rescue revisamos tu versión, aplicamos y probamos los parches y buscamos indicadores de intrusión en el servidor, con prioridad. Y si quieres dejar de ir de parche urgente en parche urgente, nuestro servicio de desarrollo y mantenimiento Magento 2 mantiene tu tienda actualizada y vigilada todos los meses.