Vulnerabilidade SessionReaper no Adobe Commerce Expõe Milhões à Tomada de Contas

Uma vulnerabilidade de segurança crítica designada como CVE-2025-54236 foi descoberta no Adobe Commerce e Magento Open Source, ameaçando a segurança de milhões de sites de e-commerce em todo o mundo. Apelidada de 'SessionReaper' por pesquisadores de segurança, esta falha possui pontuação de severidade CVSS 9.1, colocando-a na categoria de risco crítico.

A vulnerabilidade surge de mecanismos inadequados de validação de sessões que permitem que invasores não autenticados sequestrem sessões de usuário ativas. Os atacantes podem explorar esta fraqueza para obter acesso não autorizado a contas de clientes, painéis administrativos e potencialmente comprometer operações completas de lojas virtuais. O vetor de ataque não requer autenticação nem privilégios especiais, tornando-o particularmente perigoso para plataformas de e-commerce publicamente acessíveis.

A análise técnica revela que o SessionReaper explora falhas em como o Adobe Commerce gerencia identificadores de sessão e tokens de autenticação. Ao manipular parâmetros específicos em requisições HTTP, os invasores podem contornar controles de segurança e assumir o controle de sessões ativas. Isso poderia levar à tomada completa de contas, compras não autorizadas, acesso a informações pessoais sensíveis e potencial comprometimento de funções administrativas.

A Adobe confirmou que a vulnerabilidade afeta todas as versões desde o Adobe Commerce 2.4.6 até releases recentes. A empresa liberou patches de segurança emergenciais abordando o problema e recomenda fortemente a implantação imediata. Organizações executando versões afetadas devem priorizar a aplicação de patches, já que espera-se que o código de exploração torne-se publicamente disponível nos próximos dias.

A descoberta ocorre em meio a preocupações crescentes sobre segurança no e-commerce, particularmente após recentes ataques de alto perfil contra sistemas governamentais que comprometeram informações de contato de milhões de indivíduos. Especialistas em segurança alertam que instâncias do Adobe Commerce não atualizadas poderiam se tornar alvos primários para grupos organizados de cibercrime buscando ganhos financeiros através de transações fraudulentas e roubo de dados.

Negócios de e-commerce devem implementar medidas de segurança adicionais além da aplicação de patches, incluindo monitoramento aprimorado de sessões, autenticação multifatorial para contas administrativas e auditorias de segurança regulares. A adoção generalizada das plataformas Adobe Commerce e Magento significa que esta vulnerabilidade potencialmente afeta milhares de negócios globalmente, desde varejistas pequenos até operações em nível enterprise.

Profissionais do setor enfatizam que o timing desta descoberta é crítico, com a temporada de compras de fim de ano se aproximando. Resposta rápida e revisões de segurança abrangentes são essenciais para prevenir campanhas generalizadas de tomada de contas que poderiam minar a confianza do consumidor em plataformas de compras online.

Equipes de segurança devem monitorar tráfego de rede para detectar atividade incomum de sessões e implementar regras de Web Application Firewall (WAF) especificamente projetadas para detectar tentativas de exploração do SessionReaper. Adicionalmente, organizações devem revisar seus planos de resposta a incidentes para lidar com comprometimentos de contas e garantir que protocolos de comunicação com clientes estejam preparados para potenciais violações.