NoticiasNews

953 tiendas en línea infectadas con JavaScript que esquiva a los escáneres de seguridad, la mayoría en Magento953 online stores infected with scanner-evading JavaScript, mostly on Magento

2026-10-27

La firma neerlandesa de seguridad Sansec, según The Hacker News (26 de octubre de 2026), identificó 953 tiendas en línea infectadas, en su mayoría con Magento, en una campaña activa desde julio de 2025.

La técnica

  • Los atacantes inyectan código en la tabla cms_block de Magento, que muestra contenido estático como cabeceras, pies de página o banners.
  • El código carga JavaScript malicioso desde dominios del atacante, pero solo si el visitante parece un comprador real: los escáneres de seguridad no reciben nada. Una variante guarda el payload en el localStorage del navegador y otra añade huella digital del navegador para filtrar bots.
  • Unas 471 tiendas habrían sido inyectadas mediante la vulnerabilidad PolyShell (CVE-2026-48356) y unas 102 más con archivos subidos vía PolyShell o SessionReaper (CVE-2025-54236). En un caso se creó un administrador falso en una tienda totalmente parcheada.
  • Se desconoce la carga final.

Qué revisar

Sansec recomienda auditar cuentas de administrador sospechosas, revisar las tablas cms_block y cms_page en busca de contenido inesperado, mantener Magento al día (incluido el parche APSB26-73 de Adobe) y exigir contraseñas fuertes.

Impacto en atención al cliente

Una tienda comprometida suele delatarse primero por quejas: compradores que ven cargos raros o pagos que fallan. Si esas consultas se pierden entre correos y WhatsApp, el incidente se detecta tarde. Con Servigo365 las quejas llegan como tickets con historial y SLA, y un aumento repentino de casos parecidos funciona como alerta temprana para que TI actúe. Y si además tu negocio atiende público en local, Nexturno ordena turnos y citas para que la atención presencial no se desborde mientras se resuelve el incidente.

Fuente: The Hacker News, con datos de Sansec.

Dutch security firm Sansec, as reported by The Hacker News (October 26, 2026), identified 953 infected online stores, mostly running Magento, in a campaign active since July 2025.

The technique

  • Attackers inject code into Magento's cms_block table, which renders static content such as headers, footers and banners.
  • The code loads malicious JavaScript from attacker domains, but only if the visitor looks like a real shopper: security scanners get nothing. One variant stores the payload in the browser's localStorage and another adds browser fingerprinting to filter bots.
  • About 471 stores were likely injected through the PolyShell vulnerability (CVE-2026-48356) and about 102 more had files uploaded via PolyShell or SessionReaper (CVE-2025-54236). In one case a rogue administrator was created on a fully patched store.
  • The final payload is unknown.

What to check

Sansec recommends auditing suspicious admin accounts, checking the cms_block and cms_page tables for unexpected content, keeping Magento up to date (including Adobe's APSB26-73 fix) and enforcing strong passwords.

Impact on customer service

A compromised store is often first betrayed by complaints: shoppers seeing odd charges or failed payments. If those inquiries get lost between email and WhatsApp, the incident is detected late. With Servigo365 complaints arrive as tickets with history and SLA, and a sudden rise in similar cases works as an early warning so IT can act. And if your business also serves walk-in customers, Nexturno organizes queues and appointments so in-person service doesn't overflow while the incident is handled.

Source: The Hacker News, with data from Sansec.

← Volver al blog← Back to blog