[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/adobe-commerce-magento-cve-2026-48356-explotada-kev-buen-fin":3,"prev-/blog/noticias/adobe-commerce-magento-cve-2026-48356-explotada-kev-buen-fin":503,"next-/blog/noticias/adobe-commerce-magento-cve-2026-48356-explotada-kev-buen-fin":482,"related-/blog/noticias/adobe-commerce-magento-cve-2026-48356-explotada-kev-buen-fin":506,"author-Valeria Ríos":525},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":460,"cta":461,"date":465,"dateModified":465,"description":466,"draft":467,"extension":468,"faq":469,"featured":467,"howto":482,"image":483,"imageAlt":484,"intent":485,"keywords":486,"meta":491,"navigation":492,"path":493,"publishedTime":494,"readingTime":495,"seo":496,"seoTitle":497,"stem":498,"tags":499,"__hash__":502},"blog/blog/noticias/adobe-commerce-magento-cve-2026-48356-explotada-kev-buen-fin.md","PolyShell en el catálogo de CISA: la falla de Magento que ya infectó cientos de tiendas tiene plazo al 10 de noviembre, tres días antes del Buen Fin","Valeria Ríos","/autores/valeria-rios",{"type":9,"value":10,"toc":450},"minimark",[11,41,52,60,65,81,92,168,171,179,182,186,193,243,254,258,261,305,312,316,418,425,429,441],[12,13,14,18,19,22,23,26,27,30,31,34,35,40],"p",{},[15,16,17],"strong",{},"Si tu tienda en línea corre en Magento, el calendario se acaba de apretar."," Este martes 27 de octubre de 2026, la agencia de ciberseguridad de Estados Unidos (CISA) agregó ",[15,20,21],{},"CVE-2026-48356",", la falla conocida como ",[15,24,25],{},"PolyShell",", a su catálogo de vulnerabilidades explotadas conocidas (KEV). La describe como una carga de archivos de tipo peligroso sin restricción en ",[15,28,29],{},"Adobe Commerce y Magento",", y da a sus dependencias federales hasta el ",[15,32,33],{},"martes 10 de noviembre"," para corregirla. El ",[36,37,39],"a",{"href":38},"/blog/noticias/buen-fin-2026-fechas-registro-comercios","Buen Fin 2026 arranca el 13",".",[12,42,43,44,47,48,51],{},"El catálogo KEV no obliga a empresas mexicanas, pero CISA solo incluye fallas con explotación comprobada. Y en este caso hay evidencia de sobra: un día antes, el 26 de octubre, la firma Sansec, especializada en seguridad de comercio electrónico, publicó el análisis de una campaña que lleva ",[15,45,46],{},"953 tiendas infectadas desde julio de 2025",", la mayoría en Magento. Según Sansec, en marzo esa misma banda ",[15,49,50],{},"infectó 471 tiendas en una hora"," usando PolyShell.",[12,53,54,55,59],{},"No es la misma falla que ",[36,56,58],{"href":57},"/blog/noticias/magento-adobe-commerce-cve-2026-75650","StyleSmuggler (CVE-2026-75650)",", la de calificación 10 que contamos en septiembre. Son dos puertas distintas, y quien solo cerró una sigue expuesto.",[61,62,64],"h2",{"id":63},"cómo-funciona-polyshell","Cómo funciona PolyShell",[12,66,67,68,71,72,76,77,80],{},"Sansec la reveló el ",[15,69,70],{},"17 de marzo de 2026",". El problema está en la API REST del carrito de compras para invitados: las rutas que agregan o modifican productos del carrito aceptan un archivo codificado en base64 y lo escriben en la carpeta ",[73,74,75],"code",{},"pub/media/custom_options/quote/",". La única revisión es que el archivo empiece como imagen. Un ",[15,78,79],{},"archivo políglota",", que es imagen y código PHP al mismo tiempo, la pasa. Las mutaciones de GraphQL usan otro camino y no están afectadas.",[12,82,83,84,87,88,91],{},"Que el archivo se ejecute depende del servidor web: Sansec señala como vulnerables ciertas configuraciones de nginx que mandan cualquier ",[73,85,86],{},".php"," a PHP y Apache sin la regla que apaga PHP en esa carpeta. Hay un desacuerdo que conviene conocer: el registro oficial del CVE, con calificación ",[15,89,90],{},"9.3"," (CVSS 3.1), dice que la explotación requiere interacción del usuario; Sansec la describe como explotable sin autenticación, y los ataques de marzo fueron automatizados.",[93,94,95,108],"table",{},[96,97,98],"thead",{},[99,100,101,105],"tr",{},[102,103,104],"th",{},"Fecha (2026)",[102,106,107],{},"Qué pasó, según Sansec",[109,110,111,120,128,136,144,152,160],"tbody",{},[99,112,113,117],{},[114,115,116],"td",{},"16 de marzo",[114,118,119],{},"Primeros sondeos",[99,121,122,125],{},[114,123,124],{},"17 de marzo",[114,126,127],{},"Sansec publica el aviso; no había parche para versiones en producción",[99,129,130,133],{},[114,131,132],{},"19 de marzo",[114,134,135],{},"Primeros ataques reales",[99,137,138,141],{},[114,139,140],{},"14 de abril",[114,142,143],{},"82% de las tiendas que monitorea con cargas maliciosas",[99,145,146,149],{},[114,147,148],{},"12 de mayo",[114,150,151],{},"Sale Magento 2.4.9 con la corrección",[99,153,154,157],{},[114,155,156],{},"14 de julio",[114,158,159],{},"Adobe publica APSB26-73 con la corrección para las ramas con soporte",[99,161,162,165],{},[114,163,164],{},"27 de octubre",[114,166,167],{},"CISA la agrega al KEV",[12,169,170],{},"Sansec usa de forma inconsistente \"todas las tiendas\" y \"tiendas protegidas\" al dar sus porcentajes; tómalos como orden de magnitud, no como censo.",[172,173,176],"callout",{"icon":174,"title":175},"i-lucide-triangle-alert","Parchar no saca a quien ya entró",[12,177,178],{},"Sansec documentó el 23 de octubre una tienda en Magento 2.4.7-p10, sin parches de núcleo pendientes según su análisis, que recibió el código malicioso de todos modos. Los atacantes ya tenían ahí una cuenta de administrador falsa y una puerta trasera (GSocket) de una intrusión anterior. Si tu tienda estuvo sin parche entre marzo y julio, asume que pudieron entrar y revisa.",[180,181],"ad-banner",{},[61,183,185],{"id":184},"qué-versiones-corrigen","Qué versiones corrigen",[12,187,188,189,192],{},"Según el boletín ",[15,190,191],{},"APSB26-73"," de Adobe, publicado el 14 de julio de 2026 (lo consultamos a través del resumen de Meetanshi, porque la página de Adobe no respondió), estas son las versiones afectadas y las que corrigen:",[93,194,195,208],{},[96,196,197],{},[99,198,199,202,205],{},[102,200,201],{},"Producto",[102,203,204],{},"Afectadas",[102,206,207],{},"Corrigen",[109,209,210,221,232],{},[99,211,212,215,218],{},[114,213,214],{},"Magento Open Source",[114,216,217],{},"2.4.9; 2.4.8-p5, 2.4.7-p10 y 2.4.6-p15 y anteriores",[114,219,220],{},"2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul",[99,222,223,226,229],{},[114,224,225],{},"Adobe Commerce",[114,227,228],{},"Las anteriores más 2.4.5-p17 y 2.4.4-p18 y anteriores",[114,230,231],{},"Las anteriores más 2.4.5-2026-jul y 2.4.4-2026-jul",[99,233,234,237,240],{},[114,235,236],{},"Adobe Commerce B2B",[114,238,239],{},"1.5.3; 1.5.2-p5, 1.4.2-p10, 1.3.4-p17, 1.3.3-p18 y anteriores",[114,241,242],{},"1.5.3-2026-jul, 1.5.2-2026-jul, 1.4.2-2026-jul, 1.3.4-2026-jul, 1.3.3-2026-jul",[12,244,245,246,249,250,253],{},"Dos detalles. Primero, Sansec dice que 2.4.9 ya venía corregida, pero Adobe la lista como afectada en ese boletín (que corrige otras cuatro fallas críticas), así que no te quedes en 2.4.9 a secas. Segundo, cuando salió APSB26-73, Adobe lo marcó con ",[15,247,248],{},"prioridad 2",", sin explotación reportada; la entrada al KEV cambia esa lectura. Si en septiembre aplicaste el hotfix de StyleSmuggler, confirma de todos modos que tu versión base sea la ",[73,251,252],{},"-2026-jul"," o posterior.",[61,255,257],{"id":256},"la-campaña-que-la-usó-código-que-se-esconde-de-los-escáneres","La campaña que la usó: código que se esconde de los escáneres",[12,259,260],{},"Lo que Sansec describe, según la nota de Security Affairs del 26 de octubre, explica por qué muchos dueños de tienda no se enteran:",[262,263,264,279,285,295],"ul",{},[265,266,267,270,271,274,275,278],"li",{},[15,268,269],{},"El código vive en la base de datos, no en los archivos."," Los atacantes insertan un cargador pequeño en los ",[15,272,273],{},"bloques CMS"," (la tabla ",[73,276,277],{},"cms_block","), no en el tema ni en la configuración. Revisar los archivos del servidor no lo encuentra.",[265,280,281,284],{},[15,282,283],{},"Distingue clientes de escáneres."," El navegador del visitante consulta al servidor de los atacantes, que decide si es un comprador real o una herramienta de seguridad. A los escáneres no les muestra nada. La versión más reciente detecta herramientas de automatización como Selenium y ChromeDriver, y revisa tarjeta gráfica, pantalla, zona horaria e idioma.",[265,286,287,290,291,294],{},[15,288,289],{},"Persiste aunque caiga el dominio."," Guarda una carga (",[73,292,293],{},"fpCode",") que vuelve a ejecutarse en visitas posteriores.",[265,296,297,300,301,304],{},[15,298,299],{},"Cambia de dominio cada pocos meses."," El más reciente, ",[73,302,303],{},"deepveindrilling.com",", se registró el 6 de octubre de 2026, apareció en tiendas el 7 y ya estaba en 83; el 23 de octubre los operadores reescribieron sus cargadores y sumaron 9 tiendas más.",[12,306,307,308,40],{},"Sansec todavía no captura la carga final que reciben los compradores reales. Campañas así suelen terminar en robo de datos de pago o en redirecciones a fraudes; en etapas previas esta misma banda sirvió scripts con temática de criptomonedas. Para una tienda mexicana, eso se traduce en clientes defraudados en plena temporada alta y en una conversación difícil con tu ",[36,309,311],{"href":310},"/blog/comparativa/pasarelas-pago-mexico","pasarela de pago",[61,313,315],{"id":314},"qué-hacer-antes-del-10-de-noviembre","Qué hacer antes del 10 de noviembre",[317,318,319,332,350,386,392,403],"ol",{},[265,320,321,324,325,328,329,331],{},[15,322,323],{},"Confirma tu versión exacta."," En el panel de administración aparece al pie; en el servidor, ",[73,326,327],{},"bin/magento --version",". Si no termina en ",[73,330,252],{}," o algo posterior, programa la actualización esta semana, en una copia primero.",[265,333,334,337,338,341,342,345,346,349],{},[15,335,336],{},"Cierra la carpeta de PolyShell mientras actualizas."," En nginx, un bloque que niegue todo acceso a ",[73,339,340],{},"pub/media/custom_options/",", ",[15,343,344],{},"antes"," de cualquier bloque que mande archivos a PHP. En Apache, confirma que exista el ",[73,347,348],{},".htaccess"," de esa carpeta que apaga PHP y niega el acceso. Sansec advierte que esto no impide que suban archivos: solo un firewall de aplicaciones web que bloquee la llamada a la API lo hace.",[265,351,352,355,356,341,358,361,362,365,366,368,369,372,373,375,376,379,380,341,382,385],{},[15,353,354],{},"Busca lo que ya pudieron dejar."," Archivos ",[73,357,86],{},[73,359,360],{},".phtml"," o ",[73,363,364],{},".phar"," dentro de ",[73,367,340],{},", y ",[73,370,371],{},"accesson.php"," en cualquier parte del sitio. En la base de datos, busca en ",[73,374,277],{}," y ",[73,377,378],{},"cms_page"," las cadenas ",[73,381,293],{},[73,383,384],{},"se_referrer"," y dominios en base64.",[265,387,388,391],{},[15,389,390],{},"Revisa cuentas y puertas traseras."," Cuentas de administrador que nadie reconoce, procesos extraños en el servidor y la otra falla que Sansec ve en tiendas infectadas, SessionReaper (CVE-2025-54236), que se corrige con APSB25-88.",[265,393,394,397,398,402],{},[15,395,396],{},"Si encuentras algo, limpia completo."," Quitar el script no basta: hay que cerrar la falla o la puerta trasera por donde entraron y, al final, cambiar contraseñas de la base de datos, del administrador y de las integraciones por API (tu ",[36,399,401],{"href":400},"/blog/tutorial/conectar-tienda-online-erp","ERP conectado a la tienda",", la paquetería, el PAC).",[265,404,405,408,409,413,414,40],{},[15,406,407],{},"Prueba la tienda ya parchada."," Antes del 13 de noviembre, corre una ",[36,410,412],{"href":411},"/blog/tutorial/prueba-carga-tienda-online","prueba de carga"," sobre la versión nueva y repasa nuestro ",[36,415,417],{"href":416},"/blog/recurso/checklist-tecnico-buen-fin","checklist técnico del Buen Fin",[12,419,420,421,40],{},"Si tu tienda está en WooCommerce, el aviso no es para ti, pero la revisión sí: en septiembre vimos ",[36,422,424],{"href":423},"/blog/noticias/woocommerce-wholesale-lead-capture-webshell","un complemento que dejaba subir webshells",[61,426,428],{"id":427},"contexto","Contexto",[12,430,431,432,375,436,440],{},"Esta nota se basa en la alerta de CISA del 27 de octubre de 2026 y su catálogo Known Exploited Vulnerabilities (fecha límite: 10 de noviembre de 2026); el aviso de Sansec sobre PolyShell (17 de marzo de 2026, con actualizaciones hasta julio); la nota de Security Affairs del 26 de octubre de 2026 sobre el análisis de Sansec de la campaña de 953 tiendas; el registro público de CVE-2026-48356 (publicado el 14 de julio de 2026), y el resumen de Meetanshi del boletín APSB26-73 de Adobe. Las cifras de tiendas son de Sansec y no tienen verificación independiente. En ",[36,433,435],{"href":434},"/soluciones/e-commerce","e-commerce",[36,437,439],{"href":438},"/servicios/ciberseguridad","ciberseguridad"," hacemos la actualización, la limpieza y la revisión de la tienda antes de la temporada alta.",[442,443],"call-to-action",{"description":444,"eyebrow":445,"icon":446,"label":447,"title":448,"to":449},"Actualizamos tu Magento a la versión corregida, revisamos bloques CMS, archivos y cuentas, y dejamos la tienda probada antes del 13 de noviembre.","Comercio electrónico","i-lucide-shopping-cart","Agendar revisión","Que el Buen Fin no lo cobren los atacantes","/contacto",{"title":451,"searchDepth":452,"depth":453,"links":454},"",2,3,[455,456,457,458,459],{"id":63,"depth":452,"text":64},{"id":184,"depth":452,"text":185},{"id":256,"depth":452,"text":257},{"id":314,"depth":452,"text":315},{"id":427,"depth":452,"text":428},"noticias",{"title":462,"description":463,"label":464,"to":434,"icon":446},"Revisa tu tienda Magento antes del Buen Fin","Confirmamos tu versión, aplicamos APSB26-73, revisamos bloques CMS, archivos subidos y cuentas de administrador, y cerramos la carpeta que usa PolyShell.","Revisar mi tienda","2026-10-27","CISA agregó el 27 de octubre la falla PolyShell de Adobe Commerce y Magento a su catálogo de explotadas. Sansec liga a ella una campaña con 953 tiendas infectadas.",false,"md",[470,473,476,479],{"question":471,"answer":472},"¿Qué es PolyShell (CVE-2026-48356)?","Es una falla de carga de archivos sin restricción en Adobe Commerce y Magento Open Source. Sansec la reveló el 17 de marzo de 2026: las rutas de la API REST del carrito de invitado aceptan un archivo codificado y lo guardan en pub/media/custom_options/quote/ revisando solo que parezca imagen. Un archivo que es imagen y código PHP a la vez pasa la revisión y, con ciertas configuraciones del servidor web, se ejecuta.",{"question":474,"answer":475},"¿Qué versión corrige PolyShell?","Adobe la corrigió en las versiones de su boletín APSB26-73 del 14 de julio de 2026: 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul y 2.4.6-2026-jul en Magento Open Source, más 2.4.5 y 2.4.4 en Adobe Commerce. Sansec dice que 2.4.9, liberada el 12 de mayo, ya traía la corrección, pero el boletín de Adobe la lista como afectada, así que instala la compilación -2026-jul o posterior.",{"question":477,"answer":478},"Ya parché. ¿Mi tienda está limpia?","No necesariamente. Sansec documentó el 23 de octubre una tienda en 2.4.7-p10, sin parches de núcleo pendientes según su análisis, que recibió el código malicioso porque los atacantes ya tenían una cuenta de administrador falsa y una puerta trasera de una intrusión anterior. Parchar cierra la entrada, pero hay que buscar y sacar a quien ya está dentro.",{"question":480,"answer":481},"Mi tienda es Shopify o WooCommerce. ¿Me afecta?","PolyShell es exclusiva de Magento y Adobe Commerce. Shopify es una plataforma administrada y los parches los aplica el proveedor. WooCommerce corre sobre WordPress y tiene sus propias fallas, como la de un complemento que vimos en septiembre; la revisión antes del Buen Fin aplica a cualquier plataforma.",null,"/images/blog/noticias/adobe-commerce-magento-cve-2026-48356-explotada-kev-buen-fin.jpg","Pantalla de una tienda en línea con el carrito de compras abierto y código malicioso superpuesto en la página de pago","informational",[487,488,489,490],"cve-2026-48356 magento","polyshell magento parche","adobe commerce apsb26-73","tienda magento infectada skimmer",{},true,"/blog/noticias/adobe-commerce-magento-cve-2026-48356-explotada-kev-buen-fin","2026-10-27T17:00:00-06:00",5,{"title":5,"description":466},"PolyShell: Magento CVE-2026-48356 entra al KEV de CISA","blog/noticias/adobe-commerce-magento-cve-2026-48356-explotada-kev-buen-fin",[439,435,500,501],"magento","buen fin","_HsGQQDsHRM8ibQ4TcUYCmd079ifYCgXn1r-ajjtOas",{"path":504,"title":505},"/blog/noticias/teams-ia-detecta-phishing-chats-externos-deepfakes-noviembre","Teams usará IA para detectar phishing en chats externos desde noviembre, y abre la puerta a detectores de deepfakes en reuniones",[507,513,519],{"path":508,"title":509,"description":510,"date":465,"category":460,"image":511,"imageAlt":512,"readingTime":495},"/blog/noticias/windows-11-23h2-24h2-sin-actualizaciones-10-noviembre","Windows 11 23H2 recibe su último parche el 10 de noviembre y 24H2 Home y Pro ya se quedó sin actualizaciones: revisa tus equipos","Windows 11 24H2 Home y Pro dejó de recibir parches el 13 de octubre y 23H2 Enterprise y Education los pierde el 10 de noviembre. Cómo revisar y actualizar.","/images/blog/noticias/windows-11-23h2-24h2-sin-actualizaciones-10-noviembre.jpg","Laptop de oficina con la pantalla Acerca de de Windows 11 mostrando la versión instalada y un calendario marcado en el 10 de noviembre",{"path":514,"title":515,"description":516,"date":465,"category":460,"image":517,"imageAlt":518,"readingTime":495},"/blog/noticias/profeco-ofertas-simuladas-buen-fin-historial-precios","Profeco ya tomó nota de tus precios antes del Buen Fin: cómo demostrar que tus descuentos son reales","Profeco levantó precios antes del Buen Fin 2026 (13 al 17 de noviembre) para detectar ofertas simuladas. Qué dice la ley y cómo respaldar tus descuentos.","/images/blog/noticias/profeco-ofertas-simuladas-buen-fin-historial-precios.jpg","Etiqueta de precio con descuento en una pantalla de televisión en tienda, junto a una gráfica del historial de precios del producto",{"path":520,"title":521,"description":522,"date":465,"category":460,"image":523,"imageAlt":524,"readingTime":495},"/blog/noticias/php2shell-explotacion-activa-consola-pan-os-kev-29-octubre","PHP2Shell, día 7: Palo Alto ya ve ataques contra la consola de PAN-OS y CISA mete las fallas de PHP a su catálogo de explotadas","Palo Alto confirmó el 27 de octubre ataques contra consolas de PAN-OS expuestas a internet y subió la urgencia al máximo. CISA pide parchar antes del 29.","/images/blog/noticias/php2shell-explotacion-activa-consola-pan-os-kev-29-octubre.jpg","Firewall en un rack de oficina con la consola de administración abierta en una laptop y una alerta roja de ataque en pantalla",{"id":526,"avatar":482,"bio":527,"entityType":528,"expertise":529,"extension":530,"meta":531,"name":6,"role":532,"slug":533,"social":482,"stem":534,"url":7,"__hash__":535},"authors/authors/valeria-rios.yml","Consultora en inteligencia artificial aplicada al negocio. Ayuda a empresas mexicanas a automatizar procesos y tomar decisiones con datos.","Person","Valeria encabeza el área de IA y automatización de Syswork México. Ha diseñado e implementado asistentes de IA, automatizaciones no-code y proyectos de Business Intelligence para empresas de manufactura, retail y servicios. Escribe sobre IA aplicada con un enfoque práctico y sin tecnicismos, pensado para dueños de negocio y equipos no técnicos.","yml",{},"Líder de IA y Automatización","valeria-rios","authors/valeria-rios","3nnwul4W96j-Iq-KzcJAp0CSl2lr3ThDBWItUu8k_Tg"]