{"id":313,"date":"2026-03-20T13:45:30","date_gmt":"2026-03-20T13:45:30","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/20\/la-falla-de-magento-polyshell-permite-cargas-no-autenticadas-rce-y-apropiacion-de-cuentas-cyberdefensa-mx\/"},"modified":"2026-03-20T13:45:30","modified_gmt":"2026-03-20T13:45:30","slug":"la-falla-de-magento-polyshell-permite-cargas-no-autenticadas-rce-y-apropiacion-de-cuentas-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/20\/la-falla-de-magento-polyshell-permite-cargas-no-autenticadas-rce-y-apropiacion-de-cuentas-cyberdefensa-mx\/","title":{"rendered":"La falla de Magento PolyShell permite cargas no autenticadas, RCE y apropiaci\u00f3n de cuentas \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Sansec advierte sobre una falla de seguridad cr\u00edtica en la API REST de Magento que podr\u00eda permitir a atacantes no autenticados cargar ejecutables arbitrarios y lograr la ejecuci\u00f3n de c\u00f3digo y el control de cuentas.<\/p>\n<p>La vulnerabilidad ha sido nombrada en c\u00f3digo. <strong>PoliShell<\/strong> por Sansec debido a que el ataque consiste en disfrazar el c\u00f3digo malicioso como una imagen. No hay evidencia de que la deficiencia haya sido explotada en la naturaleza. La falla en la carga de archivos sin restricciones afecta a todas las versiones de Magento Open Source y Adobe Commerce hasta 2.4.9-alpha2.<\/p>\n<p>La firma de seguridad holandesa dijo que el problema surge del hecho de que la API REST de Magento acepta cargas de archivos como parte de las opciones personalizadas para el art\u00edculo del carrito.<\/p>\n<p>\u00abCuando una opci\u00f3n de producto tiene el tipo &#8216;archivo&#8217;, Magento procesa un objeto file_info incrustado que contiene datos de archivo codificados en base64, un tipo MIME y un nombre de archivo\u00bb, indica. <a href=\"https:\/\/sansec.io\/research\/magento-polyshell\" rel=\"noopener\" target=\"_blank\">dicho<\/a>. \u00abEl archivo est\u00e1 escrito en pub\/media\/custom_options\/quote\/ en el servidor\u00bb.<\/p>\n<p>Dependiendo de la configuraci\u00f3n del servidor web, la falla puede permitir la ejecuci\u00f3n remota de c\u00f3digo mediante la carga de PHP o la apropiaci\u00f3n de cuentas a trav\u00e9s de XSS almacenado.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/not-fast-enough-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhlXM830ruQd2xT6M7JNeNRjaFa1onD12WjSCHihTFMTzbyfT9h-irPmXy_h3E1HGSs6sdv7FTmnyNVTM5kmSb7BuUtZe8gKoTQt99P1sSzRcqqXpOJP6eoAOhR3DGb6qHx9kOZ_HBZUMmVnsnd0DM7QfUp81bgzTvvgLww6oqB-EhnDfWXH5pWCYhAsyLs\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Sansec tambi\u00e9n se\u00f1al\u00f3 que Adobe solucion\u00f3 el problema en la rama de prelanzamiento 2.4.9 como parte de <a href=\"https:\/\/helpx.adobe.com\/in\/security\/products\/magento\/apsb25-94.html\" rel=\"noopener\" target=\"_blank\">APSB25-94<\/a>pero deja las versiones de producci\u00f3n actuales sin un parche aislado.<\/p>\n<p>\u00abSi bien Adobe proporciona una configuraci\u00f3n de servidor web de muestra que limitar\u00eda en gran medida las consecuencias, la mayor\u00eda de las tiendas utilizan una configuraci\u00f3n personalizada de su proveedor de alojamiento\u00bb, a\u00f1adi\u00f3.<\/p>\n<p>Para mitigar cualquier riesgo potencial, se recomienda a las tiendas de comercio electr\u00f3nico que realicen los siguientes pasos:<\/p>\n<ul>\n<li>Restrinja el acceso al directorio de carga (\u00abpub\/media\/custom_options\/\u00bb).<\/li>\n<li>Verifique que las reglas de nginx o Apache impidan el acceso al directorio.<\/li>\n<li>Escanee las tiendas en busca de web shells, puertas traseras y otro malware.<\/li>\n<\/ul>\n<p>\u00abBloquear el acceso no bloquea las cargas, por lo que las personas a\u00fan podr\u00e1n cargar c\u00f3digos maliciosos si no est\u00e1s utilizando un WAF especializado [Web Application Firewall]\u00bb, dijo Sansec.<\/p>\n<p>El desarrollo se produce cuando Netcraft se\u00f1al\u00f3 una campa\u00f1a en curso que involucra el compromiso y la desfiguraci\u00f3n de miles de sitios de comercio electr\u00f3nico Magento en m\u00faltiples sectores y geograf\u00edas. La actividad, que comenz\u00f3 el 27 de febrero de 2026, implica que el actor de amenazas cargue archivos de texto sin formato en directorios web de acceso p\u00fablico.<\/p>\n<p>\u00abLos atacantes han implementado archivos de texto de destrucci\u00f3n de datos en aproximadamente 15.000 nombres de host que abarcan 7.500 dominios, incluida la infraestructura asociada con marcas globales prominentes, plataformas de comercio electr\u00f3nico y servicios gubernamentales\u00bb, dijo la investigadora de seguridad Gina Chow. <a href=\"https:\/\/www.netcraft.com\/blog\/large-scale-magento-defacement-campaign\" rel=\"noopener\" target=\"_blank\">dicho<\/a>.<\/p>\n<p>Actualmente no est\u00e1 claro si los ataques explotan una vulnerabilidad espec\u00edfica de Magento o una mala configuraci\u00f3n, y es obra de un \u00fanico actor de amenazas. La campa\u00f1a ha impactado la infraestructura de varias marcas reconocidas a nivel mundial, incluidas Asus, FedEx, Fiat, Lindt, Toyota y Yamaha, entre otras.<\/p>\n<p>Hacker News tambi\u00e9n se comunic\u00f3 con Netcraft para comprender si esta actividad tiene una conexi\u00f3n con PolyShell, y actualizaremos la historia si recibimos respuesta.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Sansec advierte sobre una falla de seguridad cr\u00edtica en la API REST de Magento que podr\u00eda permitir a atacantes no autenticados cargar ejecutables arbitrarios y lograr la ejecuci\u00f3n de c\u00f3digo y el control de cuentas. La vulnerabilidad ha sido nombrada en c\u00f3digo. PoliShell por Sansec debido a que el ataque consiste en disfrazar el c\u00f3digo [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":108,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[1112,1111,1110,704,24,263,1108,265,1109,779],"class_list":["post-313","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-apropiacion","tag-autenticadas","tag-cargas","tag-cuentas","tag-cyberdefensa-mx","tag-falla","tag-magento","tag-permite","tag-polyshell","tag-rce"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/313","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=313"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/313\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/108"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=313"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=313"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=313"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}