Alerta crítico: CVE-2026-45247 expõe lojas Magento a execução remota de código por deserialização na extensão Cache Warmer

A Agência de Cibersegurança e Infra-estruturas dos Estados Unidos (CISA) incluiu em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV) uma falha crítica na extensão Mirasvit Cache Warmer para Magento, registrada como CVE-2026-45247 e com pontuação CVSS 9.8, após relatos de exploração ativa em ambientes de comércio eletrônico.

Trata-se de uma vulnerabilidade de deserialização de dados não confiáveis —conhecida como PHP Object Injection — que permite a um atacante não autenticado fornecer um objeto PHP serializado malicioso dentro do cookie CacheWarmer e provocar a execução remota de código (RCE) no servidor que executa a extensão vulnerável. Os adesivos corretivos foram publicados em 25 de maio de 2026 e a falha afeta todas as versões anteriores à 1.11.12.

Os riscos são altos e concretos: uma loja Magento comprometida pode servir como plataforma para instalar web shells, implantar criptominers, pivotar para sistemas internos ou filtrar dados de clientes e transações. Além disso, os atacantes estão aproveitando “gadgets” já presentes nas classes que Magento e suas dependências carregam por defeito, o que converte a simples deserialização em um caminho direto para RCE sem necessidade de credenciais administrativas.

Pesquisadores de Sansec e assinaturas como Imperva observaram pedidos HTTP com cargas serializadas codificadas em base64 cujo objetivo é desencadear funções perigosas em PHP - em alguns casos tentando invocar system() ou funções equivalentes para validar execução remota - e identificaram padrões de abuso que se concentram em lojas de jogos e sites de negócios em países como EE. EUA, Reino Unido, França e Austrália. Sansec estima que pelo menos 6.000 lojas usam extensões de Mirasvit, embora o número real possa ser maior quando se consideram instalações ocultas por CDNs.

Se você administra uma loja Magento, a primeira ação inalotável é atualizar a extensão à versão 1.11.12 ou superior e aplicar qualquer sistema de segurança disponível. Dada a exploração em curso, os bancos federais americanos já receberam a ordem de mitigar antes de 6 de junho de 2026; para ambientes privados essa urgência deve traduzir-se em ação imediata.

Para detectar tentativas de exploração, adicione os registros de acesso web em busca de pedidos ao frontend que incluam o cookie CacheWarmer com um valor que contenha o prefixo CacheWarmer: seguido por uma cadeia de base64. Sansec adverte que os objetos PHP serializados codificados em base64 costumam começar com as sequências Tz, Qz ou YT, pelo que um cookie cujo valor corresponda a CacheWarmer:(Tz|Qz|YT) É um indicador forte de tentativa de exploração.

Não é suficiente para corrigir: se detectar pedidos suspeitos, assume a possibilidade de compromisso. Aísla o host afetado, preserva logs para análise forense, busca web shells e atividades incomuns em cron ou processos do sistema, rota credenciais expostas e restaura desde cópias limpas se houver indícios de manipulação. Implementa regras WAF para bloquear padrões de cookies maliciosas e considera invalidar ou filtrar cookies CacheWarmer temporariamente até verificar a limpeza completa.

No plano preventivo, revisa e reduz a superfície de exposição: minimiza módulos e extensões instaladas, aplica o princípio de menor privilégio a processos PHP e bases de dados, mantenha Magento e todas as suas dependências atualizadas, e evita o uso de unserialize () em dados provenientes do cliente. Para equipamentos técnicos, considere livrarias seguras de deserialização ou mecanismos que validen estritamente o tipo e a estrutura dos dados antes de reconstruir objetos em memória.

As organizações que dependem de terceiros — CDNs, fornecedores de hospedagem ou integradores — devem ser coordenadas para obter visibilidade de instalações ocultas e garantir que os adesivos sejam colocados em todos os pontos de presença. Mantendo fontes oficiais de inteligência e catálogos de vulnerabilidades para receber alertas precoces; o catálogo KEV de CISA é um bom ponto de referência para priorizar respostas: CISA KEV Catalog. As análises e avisos técnicos daqueles que descobriram a campanha também fornecem indicadores de compromisso úteis para a detecção, como os publicados por Sansec e assinaturas de segurança: Sansec e Imperva Blog.

Em conclusão, esta vulnerabilidade demonstra como uma única função insegura de manejo de objetos pode comprometer rapidamente ecossistemas inteiros de comércio eletrônico. A ação imediata é aplicar o adesivo, auditar e pôr em quarentena qualquer traço de exploração. A médio prazo, a lição é técnica e organizacional: reduzir dependências desnecessárias, aplicar controlos de segurança na entrada de dados e manter processos de resposta a incidentes bem ensaiados para evitar que uma extensão de cache se torne a porta de entrada para a infraestrutura crítica.