En los últimos días se ha detectado una campaña masiva de compromisos dirigida a sitios web basados en Magento y Adobe Commerce, en la que actores maliciosos están explotando un vector de subida arbitraria de archivos sin autenticación para comprometer plataformas web a escala global.
Según información proporcionada por una fuente que monitorea activamente esta actividad, y que habría tenido contacto directo con uno de los atacantes, la campaña podría haber comprometido más de 14.000 sitios web, evidenciando un alcance significativo y un alto grado de automatización.
ACTUALIZACIÓN 18-03-2026: Para efectos de validación, se agrega POC (checker).
La actividad inicial se observó en múltiples sitios web en Chile, incluyendo portales de ENTEL, BICE VIDA, COLUN, CASAIDEAS, VOLCOM, EVERLAST, MAUI&SONS, FILA y RIP CURL, entre otros.
A nivel internacional, se han registrado compromisos en dominios asociados a gobiernos y marcas de renombre como UNICEF, GOOGLE MERCH, MICROSOFT CHINA, DIESEL, ASUS, TOYOTA y hasta el mismo MAGENTO, entre otros.
El análisis técnico, sugiere que los atacantes no están explotando la vulnerabilidad “SessionReaper” (CVE-2025-54236) en toda su extensión. En cambio, están aprovechando únicamente uno de los vectores derivados del exploit: la capacidad de realizar una subida arbitraria de archivos a través de un endpoint vulnerable de Magento.
Qué se está observando
El patrón común en los sitios comprometidos es la aparición de archivos TXT subidos directamente al servidor, los cuales contienen mensajes de defacement con firmas de los atacantes.
Algunos de estos textos incluyen además referencias al conflicto geopolítico en Medio Oriente, lo que podría sugerir motivaciones ideológicas o de hacktivismo detrás de la campaña.
Según registros en Defacer.ID y Zone-H, existen miles de reportes asociados a esta campaña de explotación masiva. De acuerdo con comentarios atribuidos al propio atacante, habrían recopilado un listado de más de 200.000 sitios que utilizan Magento, de los cuales alrededor de 14.000 ya habrían sido comprometidos mediante este vector
Riesgo potencial: más allá del defacement
La campaña actualmente en análisis parece estar explotando únicamente el componente de subida arbitraria de archivos, sin ejecutar la cadena completa del exploit asociado a SessionReaper.
Los atacantes están enviando solicitudes automatizadas al endpoint vulnerable /customer/address_file/upload, intentando subir archivos directamente al servidor web afectado.
En los incidentes observados hasta el momento, únicamente se han identificado archivos TXT, lo que sugiere que la actividad estaría siendo realizada principalmente por grupos de defacers, cuyo objetivo sería demostrar públicamente el compromiso del sitio.
No obstante, este vector de ataque no se limita a la subida de archivos de texto. En teoría, también permitiría la carga de archivos potencialmente más peligrosos, tales como:
- Instaladores de malware
- Webshells PHP
- Scripts maliciosos
- Payloads ejecutables
En este contexto, los sitios afectados por esta campaña también podrían ser vulnerables a la ejecución remota de código (RCE) si un atacante decide subir archivos diseñados para ser ejecutados por el servidor, lo que ampliaría significativamente el impacto potencial del compromiso.
Prueba de Concepto (PoC)
Con el objetivo de facilitar la verificación del problema, desarrollamos una prueba de concepto (PoC) que reproduce el vector de explotación asociado al endpoint vulnerable (upload) de Magento.
El código completo esta disponible en nuestro GitHub.
Recomendaciones de Seguridad
La vulnerabilidad SessionReaper (CVE-2025-54236) en Magento 2 / Adobe Commerce permite la subida de archivos arbitrarios, secuestro de sesiones y potencial ejecución remota de código (RCE). A continuación, medidas clave de mitigación y detección:
1. Actualizar Magento / Adobe Commerce
▪ Aplicar los parches de seguridad publicados por Adobe.
▪ Se recomienda revisar periódicamente los boletines oficiales y mantener la plataforma en su última versión estable.
2. Revisar logs del servidor
▪ Analizar logs HTTP en busca de solicitudes sospechosas, especialmente hacia el endpoint:
/customer/address_file/uploadIndicadores relevantes incluyen múltiples requests POST, patrones automatizados y respuestas anómalas.
3. Buscar archivos sospechosos
▪ Inspeccionar directorios de carga como:
/pub/media/
/pub/media/customer_address/Detectar archivos .php, .phar o .phtml, .msi, .exe, .bat, nombres ofuscados y archivos recientemente creados.
4. Implementar reglas WAF
▪ Configurar un WAF como Cloudflare o ModSecurity para bloquear solicitudes maliciosas hacia endpoints de carga de archivos, aplicar rate limiting y filtrar patrones de ataque.
5. Ejecutar herramientas de detección de malware
▪ Realizar escaneos con herramientas como ClamAV o Linux Malware Detect para identificar webshells, backdoors y otros artefactos maliciosos.
▪ Complementar con revisión de tareas programadas (cron) y validación de integridad del sistema.
Estos incidentes vuelven a poner de relieve la importancia de mantener una gestión continua de vulnerabilidades y un monitoreo activo del panorama de amenazas y plataformas, especialmente cuando estas operan en entornos expuestos a internet y procesan datos de clientes.
La importancia de detectar estas amenazas a tiempo
Incidentes como este evidencian cómo una aparente alteración menor, como la subida de un archivo TXT, puede ser en realidad la señal temprana de un compromiso más profundo dentro de la infraestructura web de una organización.
En muchos casos, los ataques comienzan con acciones simples que buscan probar vulnerabilidades, medir la exposición de un sitio o validar vectores de acceso, antes de escalar hacia operaciones más complejas como instalación de malware, robo de datos o toma de control del servidor.
CronUp Ciberseguridad, monitoreamos de forma permanente la superficie de exposición digital de las organizaciones para identificar vulnerabilidades críticas, configuraciones inseguras y señales tempranas de compromiso antes de que puedan escalar a incidentes de impacto mayor.
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
