Los investigadores y cazadores de amenazas están luchando por contener un defecto de máxima gravedad en la aplicación de red UniFi de Ubiquiti que los atacantes podrían aprovechar para apoderarse de las cuentas de los usuarios accediendo y manipulando archivos.

La vulnerabilidad del recorrido del camino CVE-2026-22557 — afecta al software utilizado para administrar dispositivos de red UniFi, incluidos puntos de acceso, puertas de enlace y conmutadores. El proveedor reveló y lanzó parches para el defecto en un aviso de seguridad Miércoles.

«Hasta esta mañana, no hemos observado ninguna prueba pública de explotación de concepto ni informes confirmados de explotación en la naturaleza», dijo a CyberScoop Matthew Guidry, ingeniero senior de detección de productos de Censys.

«Sin embargo, debido a que se trata de una vulnerabilidad de recorrido de ruta, la complejidad técnica para un atacante suele ser menor que la corrupción de la memoria o los errores de desbordamiento del búfer», añadió. «Dado que la clasificación CVSS 10 implica una baja complejidad de ataque, anticipamos que una vez que se identifique el punto final vulnerable específico, la explotación será trivial de automatizar».

Los sensores de Censys observaron casi 88.000 hosts de aplicaciones de red UniFi expuesto públicamente en Internet a partir del viernes por la mañana. El software no expone qué versión está ejecutando, por lo que los análisis no pueden distinguir entre instancias vulnerables y parcheadas.

Aproximadamente un tercio de las instancias expuestas de la aplicación UniFi Network se encuentran en los Estados Unidos.

Como defensor, cuando ve un CVSS 10 para un producto que inmediatamente reconoce y sabe que está en todas partes, probablemente se sienta un poco ansioso», dijo Guidry. «También sabe que es remotamente explotable, no requiere autenticación y no necesita interacción del usuario, porque no sería un 10 si no lo fuera. Ubiquiti es un nombre que se escucha con frecuencia y muchos de esos dispositivos están conectados directamente a Internet”.

Ubiquiti aconseja a los usuarios de la aplicación UniFi Network que actualicen a las últimas versiones del software, lo que también solucionó una segunda vulnerabilidad: CVE-2026-22558 – que los atacantes podrían aprovechar para aumentar los privilegios.

Sansec advierte sobre una falla de seguridad crítica en la API REST de Magento que podría permitir a atacantes no autenticados cargar ejecutables arbitrarios y lograr la ejecución de código y el control de cuentas.

La vulnerabilidad ha sido nombrada en código. PoliShell por Sansec debido a que el ataque consiste en disfrazar el código malicioso como una imagen. No hay evidencia de que la deficiencia haya sido explotada en la naturaleza. La falla en la carga de archivos sin restricciones afecta a todas las versiones de Magento Open Source y Adobe Commerce hasta 2.4.9-alpha2.

La firma de seguridad holandesa dijo que el problema surge del hecho de que la API REST de Magento acepta cargas de archivos como parte de las opciones personalizadas para el artículo del carrito.

«Cuando una opción de producto tiene el tipo ‘archivo’, Magento procesa un objeto file_info incrustado que contiene datos de archivo codificados en base64, un tipo MIME y un nombre de archivo», indica. dicho. «El archivo está escrito en pub/media/custom_options/quote/ en el servidor».

Dependiendo de la configuración del servidor web, la falla puede permitir la ejecución remota de código mediante la carga de PHP o la apropiación de cuentas a través de XSS almacenado.

Sansec también señaló que Adobe solucionó el problema en la rama de prelanzamiento 2.4.9 como parte de APSB25-94pero deja las versiones de producción actuales sin un parche aislado.

«Si bien Adobe proporciona una configuración de servidor web de muestra que limitaría en gran medida las consecuencias, la mayoría de las tiendas utilizan una configuración personalizada de su proveedor de alojamiento», añadió.

Para mitigar cualquier riesgo potencial, se recomienda a las tiendas de comercio electrónico que realicen los siguientes pasos:

• Restrinja el acceso al directorio de carga («pub/media/custom_options/»).
• Verifique que las reglas de nginx o Apache impidan el acceso al directorio.
• Escanee las tiendas en busca de web shells, puertas traseras y otro malware.

«Bloquear el acceso no bloquea las cargas, por lo que las personas aún podrán cargar códigos maliciosos si no estás utilizando un WAF especializado [Web Application Firewall]», dijo Sansec.

El desarrollo se produce cuando Netcraft señaló una campaña en curso que involucra el compromiso y la desfiguración de miles de sitios de comercio electrónico Magento en múltiples sectores y geografías. La actividad, que comenzó el 27 de febrero de 2026, implica que el actor de amenazas cargue archivos de texto sin formato en directorios web de acceso público.

«Los atacantes han implementado archivos de texto de destrucción de datos en aproximadamente 15.000 nombres de host que abarcan 7.500 dominios, incluida la infraestructura asociada con marcas globales prominentes, plataformas de comercio electrónico y servicios gubernamentales», dijo la investigadora de seguridad Gina Chow. dicho.

Actualmente no está claro si los ataques explotan una vulnerabilidad específica de Magento o una mala configuración, y es obra de un único actor de amenazas. La campaña ha impactado la infraestructura de varias marcas reconocidas a nivel mundial, incluidas Asus, FedEx, Fiat, Lindt, Toyota y Yamaha, entre otras.

Hacker News también se comunicó con Netcraft para comprender si esta actividad tiene una conexión con PolyShell, y actualizaremos la historia si recibimos respuesta.