Vulnerabilidad SessionReaper en Adobe Commerce Expone Millones a Toma de Cuentas

Una vulnerabilidad de seguridad crítica designada como CVE-2025-54236 ha sido descubierta en Adobe Commerce y Magento Open Source, amenazando la seguridad de millones de sitios de comercio electrónico a nivel global. Denominada 'SessionReaper' por investigadores de seguridad, esta falla posee una puntuación de severidad CVSS de 9.1, situándola en la categoría de riesgo crítico.

La vulnerabilidad surge de mecanismos incorrectos de validación de sesiones que permiten a atacantes no autenticados secuestrar sesiones de usuario activas. Los atacantes pueden explotar esta debilidad para obtener acceso no autorizado a cuentas de clientes, paneles administrativos y potencialmente comprometer operaciones completas de tiendas online. El vector de ataque no requiere autenticación ni privilegios especiales, lo que lo hace particularmente peligroso para plataformas de e-commerce de acceso público.

El análisis técnico revela que SessionReaper explota fallos en cómo Adobe Commerce maneja identificadores de sesión y tokens de autenticación. Mediante la manipulación de parámetros específicos en peticiones HTTP, los atacantes pueden eludir controles de seguridad y asumir el control de sesiones activas. Esto podría derivar en toma completa de cuentas, compras no autorizadas, acceso a información personal sensible y potencial compromiso de funciones administrativas.

Adobe ha confirmado que la vulnerabilidad afecta todas las versiones desde Adobe Commerce 2.4.6 hasta releases recientes. La compañía ha liberado parches de seguridad de emergencia que abordan el problema y recomienda enfáticamente su implementación inmediata. Las organizaciones que ejecuten versiones afectadas deben priorizar la aplicación de parches, ya que se espera que el código de explotación esté disponible públicamente en los próximos días.

El descubrimiento se produce en medio de crecientes preocupaciones sobre seguridad en comercio electrónico, particularmente tras recientes ataques de alto perfil contra sistemas gubernamentales que comprometieron información de contacto de millones de individuos. Expertos en seguridad advierten que instancias de Adobe Commerce sin parchear podrían convertirse en objetivos primarios para grupos organizados de cibercrimen que buscan ganancias financieras mediante transacciones fraudulentas y robo de datos.

Los negocios de e-commerce deberían implementar medidas de seguridad adicionales más allá del parcheo, incluyendo monitorización mejorada de sesiones, autenticación multifactor para cuentas administrativas y auditorías de seguridad regulares. La adopción generalizada de plataformas Adobe Commerce y Magento significa que esta vulnerabilidad potencialmente afecta a miles de negocios globalmente, desde minoristas pequeños hasta operaciones a nivel enterprise.

Profesionales de la industria enfatizan que el timing de este descubrimiento es crítico, con la temporada de compras navideñas aproximándose. La respuesta rápida y revisiones de seguridad comprehensivas son esenciales para prevenir campañas generalizadas de toma de cuentas que podrían socavar la confianza del consumidor en plataformas de compras online.

Los equipos de seguridad deben monitorizar tráfico de red para detectar actividad inusual de sesiones e implementar reglas de Web Application Firewall (WAF) específicamente diseñadas para detectar intentos de explotación de SessionReaper. Adicionalmente, las organizaciones deberían revisar sus planes de respuesta a incidentes para manejar compromisos de cuentas y asegurar que los protocolos de comunicación con clientes estén preparados para potenciales brechas.