Sansec detectó una campaña que infectó 953 tiendas online desde julio de 2025, la mayoría basadas en Magento. El código distingue a los visitantes de los escáneres de seguridad y puede ocultar su actividad ante estos últimos, lo que dificulta comprobar si un comercio está limpio.
El informe, publicado el 24 de octubre de 2026, sitúa la variante de octubre en 83 tiendas. De ellas, 60 ya habían cargado versiones anteriores del código del mismo operador. Ese solapamiento apunta a compromisos persistentes en buena parte de este grupo.
El código decide qué mostrar a cada visitante
Los atacantes colocan un cargador JavaScript, un pequeño programa que solicita código adicional, en los bloques de contenido de Magento. Sansec lo encontró en cms_block, una tabla de la base de datos que alimenta secciones de las páginas del comercio.
La versión observada desde el 23 de octubre recoge características del navegador para detectar automatización. El servidor utiliza esa información para decidir qué devolver. En una prueba con un navegador automatizado, los investigadores no encontraron contenido añadido, aunque la página respondió correctamente.
Otra versión conserva código en el almacenamiento local del navegador y lo ejecuta en visitas posteriores, incluso cuando el dominio externo deja de estar disponible. Sansec aún no había capturado la carga final de la variante más reciente al publicar su investigación.
Los parches y la limpieza resuelven problemas distintos
En una tienda que Sansec describió como libre de parches pendientes del núcleo, apareció un nuevo cargador el 23 de octubre. La firma ya había detectado allí una cuenta administrativa ilegítima y una puerta trasera durante septiembre.
Las oleadas anteriores se relacionan con fallas conocidas, entre ellas PolyShell y SessionReaper. Adobe incluyó la corrección de CVE-2026-48356, asociada a PolyShell, en el boletín APSB26-73 del 14 de julio de 2026. El boletín APSB25-88, publicado el 9 de septiembre de 2025, aborda CVE-2025-54236, conocida como SessionReaper, y reconoce su explotación en ataques reales.
Actualizar cierra vulnerabilidades, pero la recuperación también requiere eliminar los accesos y el código que dejó la intrusión. El protocolo de Adobe recomienda conservar registros, investigar cómo ocurrió el ataque y revisar cuentas administrativas, archivos y base de datos. También contempla renovar credenciales y claves de integración, además de reforzar la autenticación multifactor.
Adobe pide mantener la vigilancia después de la limpieza porque algunas tiendas vuelven a ser comprometidas en cuestión de horas. Revisar los registros y la integridad de los archivos forma parte de esa recuperación.
