Uma nova falha de segurança identificada pela Sansec colocou em alerta administradores de lojas virtuais baseadas em Magento Open Source e Adobe Commerce. A vulnerabilidade, apelidada de PolyShell, permite execução remota de código (RCE) sem necessidade de autenticação, o que a torna extremamente perigosa e de fácil exploração em ambientes expostos à internet.
O problema afeta diretamente o fluxo de upload de arquivos na plataforma e pode ser explorado de forma automatizada. Na prática, isso significa que invasores podem comprometer servidores inteiros sem sequer possuir credenciais válidas. Entender essa falha de segurança em e-commerce é essencial para agir rapidamente e evitar danos maiores.
O que é a vulnerabilidade PolyShell no Magento
A falha conhecida como PolyShell explora o conceito de arquivos poliglotas. Esses arquivos são construídos de forma a serem interpretados como mais de um tipo ao mesmo tempo, por exemplo, uma imagem válida que também contém código executável embutido.
No contexto do Magento, isso permite que um arquivo aparentemente legítimo, como um .jpg, carregue código PHP oculto. Como as validações padrão da aplicação verificam apenas o formato superficial, o arquivo passa como seguro.
O risco surge quando esse conteúdo é posteriormente interpretado pelo servidor de forma inadequada, permitindo a execução do código malicioso. Essa característica torna a vulnerabilidade no Adobe Commerce especialmente crítica, pois contorna mecanismos tradicionais de segurança.
O papel da API REST
A exploração da falha PolyShell no Magento ocorre por meio da API REST, mais especificamente durante o envio de opções personalizadas de produtos no carrinho.
Esse recurso permite que clientes anexem arquivos a produtos, algo comum em lojas que oferecem itens personalizados. No entanto, a validação desses arquivos é insuficiente.
O atacante pode:
- Enviar um arquivo poliglota disfarçado como imagem
- Inserir código malicioso dentro desse arquivo
- Fazer com que o sistema armazene o arquivo em diretórios públicos
- Acessar o arquivo via navegador e acionar a execução do código
O ponto crítico está no fato de que o Magento não valida corretamente o conteúdo real do arquivo, apenas sua extensão e estrutura básica. Isso abre caminho para a execução remota de comandos no servidor.
Riscos e impactos para o e-commerce
Os impactos dessa falha de segurança em e-commerce são severos e podem comprometer completamente a operação da loja.
Entre os principais riscos estão:
- Execução remota de código (RCE) com controle total do servidor
- Exfiltração de dados sensíveis, incluindo informações de clientes
- Instalação de backdoors para acesso persistente
- Alteração de páginas da loja, incluindo scripts maliciosos
- Uso do servidor para ataques adicionais, como distribuição de malware
Além disso, como a exploração não exige autenticação, bots automatizados podem escanear e comprometer lojas vulneráveis em larga escala.
Para negócios digitais, isso representa não apenas perda financeira, mas também danos à reputação e possíveis implicações legais.
Como proteger sua loja Magento agora
Diante da gravidade da falha PolyShell no Magento, a mitigação imediata é essencial. Até que uma correção oficial esteja amplamente disponível, algumas ações práticas podem reduzir significativamente o risco.
Restrição de acesso a diretórios
O diretório mais sensível nesse cenário é:
pub/media/custom_options/
Esse local é utilizado para armazenar arquivos enviados por usuários e pode ser explorado para hospedar código malicioso.
Medidas recomendadas:
- Desabilitar a execução de PHP nesse diretório
- Configurar regras no servidor para bloquear scripts
- Impedir acesso direto via URL quando possível
Exemplo de configuração no Apache:
php_flag engine off
Essa abordagem impede que arquivos enviados sejam interpretados como código executável, mesmo que contenham payloads maliciosos.
Verificação de logs e integridade
A análise de logs é essencial para detectar sinais de exploração.
Ações recomendadas:
- Monitorar requisições suspeitas na rota /rest/
- Revisar uploads recentes no diretório pub/media/custom_options/
- Identificar arquivos com conteúdo inconsistente ou extensões incomuns
- Procurar por código PHP embutido em arquivos de mídia
Também é altamente recomendável realizar uma auditoria completa do sistema em busca de backdoors e alterações não autorizadas.
Ferramentas de verificação de integridade podem ajudar a identificar rapidamente arquivos comprometidos.
Conclusão e status da correção oficial
A falha conhecida como PolyShell representa uma ameaça crítica para lojas que utilizam Magento e Adobe Commerce. Sua capacidade de permitir execução remota de código sem autenticação a coloca entre as vulnerabilidades mais perigosas recentes no ecossistema de e-commerce.
Até o momento, a correção oficial para a vulnerabilidade no Adobe Commerce está em estágio inicial, com patches ainda em fase alfa. Isso exige atenção constante dos administradores e resposta rápida assim que atualizações forem disponibilizadas.
Enquanto isso, a aplicação imediata de medidas de mitigação e o monitoramento contínuo do ambiente são fundamentais para reduzir riscos.
Em cenários como este, agir rapidamente não é apenas uma recomendação, mas uma necessidade operacional.