importante - dicas de segurança do Magento 2

[work]

O termo "hacking de upload Magento 2" refere-se tipicamente a uma classe crítica de vulnerabilidades de segurança onde atacantes exploram as características de upload de arquivos para obter acesso não autorizado.

Como de abril de 2026, o mais urgente é uma vulnerabilidade chamada PolyShell que permite ataques sem autenticação aos usuários de upload de arquivos a quase qualquer loja Magento ou Adobe Commerce.

Vulnerabilidade Atualmente Major: PolyShell (APSB25-94)

Descoberta pela Sansec, esta vulnerabilidade está atualmente sendo explorada em campo.

Como Funciona: Os atacantes usam o API REST para fazer upload de um arquivo chamado "polyglot"—um arquivo que parece ser uma imagem válida ao servidor mas contém código PHP oculto.

O Vínculo: O ataque almeja a funcionalidade Cart Item Custom Options. Quando um produto permite opção de "upload de arquivo", o API aceita dados base64 e salva em pub/media/custom_options/ ou na pasta customer_address.

Portanto, você deve seguir aqui para proteger sua loja Magento 2:

1. Abra open_basedir para a pasta pub não pelo padrão
2. Configura limite de arquivos PHP para executar e aguarde Magento 2.4.9

Nginx

location /pub/media/ {
    location ~ \.php$ {
        deny all;
    }
    if ($request_filename ~* \.(php|phtml|php5)$ ) {
        return 403;
    }
}

Apache

<FilesMatch "\.(php|php5|phtml)$">
    Order Allow,Deny
    Deny from all
</FilesMatch>