important - consejos de seguridad para Magento 2

[work]

El término "Magento 2 upload hack" se refiere típicamente a una clase crítica de vulnerabilidades de seguridad donde los atacantes explotan las características de subida de archivos para obtener acceso no autorizado.

Como de abril de 2026, el mayor peligro es la vulnerabilidad llamada PolyShell, que permite ataques sin autenticación a los usuarios de subir archivos ejecutables a casi cualquier tienda Magento o Adobe Commerce.

Vulnerabilidad actual más urgente: PolyShell (APSB25-94)
Descubierta por Sansec, esta vulnerabilidad está siendo explotada en la wild.

Cómo funciona: Los atacantes utilizan el API REST para subir un archivo "polyglot"—un archivo que parece una imagen válida al servidor pero contiene código PHP oculto.

El Vector: El ataque se dirige a la característica de Opciones de Item del Carrito. Cuando un producto permite una opción de "archivo" de subida, el API acepta datos base64 codificados y los guarda en la carpeta pub/media/custom_options/ o customer_address.

Lo mejor es que sigas estos pasos para proteger tu tienda Magento 2:

1. Abre open_basedir solo a la carpeta pub.
2. Configura límites de archivos PHP para ejecutar y espera hasta Magento 2.4.9.
3. Nginx

location /pub/media/ {
    location ~ \.php$ {
        deny all;
    }
    if ($request_filename ~* \.(php|phtml|php5)$ ) {
        return 403;
    }
}

Apache

<FilesMatch "\.(php|php5|phtml)$">
    Order Allow,Deny
    Deny from all
</FilesMatch>