CISA ha añadido a su catálogo de fallos explotados CVE-2026-48356 (PolyShell), una vulnerabilidad crítica de Adobe Commerce y Magento que ya se usa para infectar tiendas online. Si vendes con Magento 2 o Adobe Commerce, pide hoy a tu agencia que confirme por escrito que tiene aplicado el boletín APSB26-73 y que revise la tienda.
Lo esencial
- CVE-2026-48356 tiene una puntuación CVSS de 9.3. Es una carga de archivos peligrosos sin restricciones en Adobe Commerce y Magento que puede acabar en ejecución de código arbitrario. Adobe lo corrige en el boletín APSB26-73 (The Hacker News).
- CISA lo ha incluido en su catálogo KEV por evidencias de explotación activa.
- Una campaña activa desde julio de 2025 ha infectado 953 tiendas online, la mayoría con Magento (The Hacker News).
- Se estima que 471 tiendas Magento recibieron el cargador malicioso a través de PolyShell.
- No se ha recuperado ningún malware de siguiente fase, así que no se conoce el objetivo final de los atacantes.
¿Me afecta si mi tienda está en Magento o Adobe Commerce?
Sí, si la tienda no tiene aplicado el APSB26-73. Da igual que la gestione una agencia externa: la tienda es tuya y el riesgo también.
El caso que describe Sansec lo ilustra bien. Encontró una tienda con Magento 2.4.7-p1 que seguía sin el APSB26-73 y que ya tenía webshells disfrazadas de imágenes PNG en la carpeta pub/media/custom_options/quote/ (The Hacker News). Una versión relativamente reciente no basta: lo que cuenta es el parche concreto.
Las fuentes no aportan cifras de tiendas españolas afectadas. El alcance en España no está confirmado, pero tampoco hay motivo para pensar que esté a salvo.
¿Cómo funciona el ataque y por qué no lo vas a ver?
Los atacantes aprovechan PolyShell para subir archivos al servidor y, desde ahí, inyectan un cargador en un bloque CMS de Magento, el tipo de bloque que se usa para cabeceras, pies de página o banners. El código se ejecuta cuando un comprador abre la web y se renderiza ese bloque.
El cargador está pensado para descargar y ejecutar una carga controlada por el atacante. Como no se ha recuperado esa segunda fase, nadie sabe todavía qué hace al final.
Lo más incómodo: una de las variantes comprueba la huella del navegador para filtrar bots y escáneres de seguridad. Solo los compradores reales ven el código malicioso (The Hacker News). Que tu escáner diga que todo está limpio, o que tú entres en la web y la veas normal, no demuestra nada.
Qué hacer hoy
- Escribe a tu agencia o proveedor y pregunta si la tienda tiene aplicado el boletín APSB26-73 de Adobe. Exige la respuesta por escrito.
- Si no está aplicado, que lo apliquen hoy, no en el próximo ciclo de mantenimiento.
- Pide que revisen los bloques CMS (cabecera, pie, banners) en busca de scripts externos que no reconozcan.
- Que busquen archivos sospechosos en pub/media/custom_options/, sobre todo imágenes que contengan código.
- Si aparece algo, que roten credenciales y claves de API y que consultéis con la pasarela de pago. Si hay datos personales de clientes en riesgo, valorad la notificación a la AEPD según el RGPD.
Qué significa para una pyme
Tener la tienda en Magento o Adobe Commerce autoalojado implica una obligación que muchas pymes delegan sin verificar: parchear rápido. Aquí la explotación está confirmada por CISA y la campaña lleva activa desde julio de 2025. Si tu agencia tarda días en decirte si el APSB26-73 está aplicado, ese retraso ya es información sobre tu nivel de riesgo.
La segunda lección es que parchear no equivale a estar limpio. El parche cierra la puerta, pero no saca a quien ya entró. Con un código que se esconde de los escáneres y un objetivo final desconocido, lo sensato es tratar cualquier hallazgo como un compromiso completo del servidor, no como un script suelto que se borra y listo.
Y una tercera, más de contrato que de técnica: si una agencia gestiona tu tienda, el acuerdo debería fijar plazos para aplicar parches críticos y obligar a avisarte. Si no tienes claro cómo plantearlo o quieres una revisión independiente, en ciberseguridad podemos ayudarte.
Preguntas frecuentes
¿Basta con aplicar el parche APSB26-73?
No. El parche evita nuevas intrusiones por PolyShell, pero si la tienda ya estaba comprometida, las webshells y los bloques CMS modificados siguen ahí. Hace falta revisar.
¿Mis clientes notarían algo raro en la web?
Probablemente no. El código se ejecuta al cargar la página y una variante se oculta de bots y escáneres para mostrarse solo a compradores reales.
¿Tengo que avisar a la AEPD?
Si la revisión encuentra una infección y hay datos personales de clientes en riesgo, valorad la notificación a la AEPD según el RGPD.
