CNCS alerta para falha no Adobe Commerce e Magento

O Centro Nacional de Cibersegurança (CNCS) emitiu um alerta para uma vulnerabilidade crítica que afeta plataformas Adobe Commerce e Magento Open Source, com potencial impacto elevado na confidencialidade e integridade dos sistemas.

A falha, identificada como CVE-2025-54236, resulta de validação incorreta de dados na API REST, especificamente no endpoint ‘/customer/address_file/upload’. O problema reside no componente ServiceInputProcessor, que permite a deserialização de objetos PHP arbitrários.

Com um vetor CVSS 3.1 classificado como crítico, a vulnerabilidade pode ser explorada remotamente, sem necessidade de autenticação ou interação do utilizador. O impacto inclui acesso a sessões de clientes e possível comprometimento de dados sensíveis.

Em determinados cenários, nomeadamente quando as sessões são armazenadas no sistema de ficheiros (configuração comum) a exploração pode evoluir para execução remota de código (RCE), permitindo controlo total do servidor por parte do atacante.

As versões afetadas abrangem múltiplas releases do Adobe Commerce, Adobe Commerce B2B e Magento Open Source, incluindo versões até à 2.4.9-alpha2 e anteriores.

O CNCS recomenda a aplicação imediata das atualizações de segurança disponibilizadas pela Adobe, nomeadamente através do boletim APSB25-88. No entanto, a correção disponível resolve apenas a vulnerabilidade de deserialização, não eliminando totalmente o risco associado ao upload arbitrário de ficheiros.

Como medidas adicionais, o organismo sugere a implementação de regras de Web Application Firewall (WAF), a monitorização de logs para identificar pedidos suspeitos, a remoção de ficheiros não autorizados e a rotação de credenciais.

É ainda recomendada a restrição de acesso ao diretório ‘pub/media/custom_options/’, frequentemente utilizado em explorações, bem como a realização de auditorias para deteção de ficheiros maliciosos.

O alerta reforça a importância da gestão proativa de vulnerabilidades em plataformas de comércio eletrónico, especialmente em ambientes expostos à internet e com processamento de dados sensíveis.