Se a sua loja virtual roda em Magento (ou Adobe Commerce), vale abrir o painel hoje. A empresa de segurança Sansec publicou em 24 de outubro de 2026 uma pesquisa sobre um grupo que já colocou código malicioso em 953 lojas virtuais desde julho de 2025, a maioria em Magento. O detalhe que preocupa: o código fica escondido no banco de dados da loja e só aparece para comprador de verdade. Para os scanners de segurança, a loja parece limpa.
A campanha segue ativa. Segundo a Sansec, um domínio registrado pelos atacantes em 6 de outubro de 2026 já estava em 83 lojas.
O que a Sansec encontrou
O código malicioso não fica nos arquivos do site, onde muita ferramenta de verificação procura. Ele é gravado nos blocos de conteúdo do Magento (a tabela cms_block), os mesmos usados para banners, rodapés e avisos da loja.
Quando alguém abre a página, esse trecho chama o servidor do atacante. O servidor confere se o visitante parece um comprador real ou um robô de verificação. Robô não recebe nada. Uma segunda versão do código coleta a "impressão digital" do navegador antes de decidir o que entregar.
A Sansec não informou o que a carga final faz nas lojas. Por isso, não dá para afirmar que houve roubo de cartão.
Como os atacantes entram
Segundo o site de segurança THN, que detalhou a pesquisa em 26/10, a maior parte das invasões passou por duas falhas conhecidas do Magento:
- PolyShell (CVE-2026-48356): estimada em 471 lojas. A Adobe corrigiu no boletim APSB26-73, de 14 de julho de 2026, com nota 9,6 (crítica) e exploração sem login;
- PolyShell ou SessionReaper (CVE-2025-54236): em 102 lojas;
- contas de administrador falsas: uma loja na versão 2.4.7-p10 foi invadida assim.
A Sansec resume em duas frases: "lojas com patch também recebem o código" e "apagar o script não remove o acesso". Quem entrou pode ter deixado um usuário administrador ou um arquivo de acesso escondido, e volta quando quiser.
Há um ponto que a própria fonte não fecha. A Sansec diz que a loja na 2.4.7-p10 não tinha correções faltando, mas o boletim da Adobe lista a 2.4.7-p10 entre as versões afetadas pela PolyShell. Se a sua loja está nessa versão, trate como desatualizada.
Versões que corrigem
Segundo o boletim APSB26-73 da Adobe, estão afetadas as versões do Magento Open Source 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15 e anteriores. As versões corrigidas são as de julho de 2026 de cada linha: 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul e 2.4.6-2026-jul. A Sansec recomenda instalar também a correção da SessionReaper (APSB25-88).
O que fazer agora
A lista abaixo segue as orientações da Sansec. Se você não tem acesso técnico à loja, encaminhe para quem cuida dela:
- Confira a versão do Magento e instale as correções de julho de 2026 (APSB26-73) e a APSB25-88, se ainda faltar.
- Procure o código nos blocos de conteúdo: nas tabelas
cms_blockecms_page, busque os termosfpCode,se_referrerelocalStorage.getItem. - Revise as pastas de upload: arquivos estranhos em
pub/media/custom_options/epub/media/customer_address/, e qualquer arquivo chamadoaccesson.php. - Confira os administradores na tabela
admin_user. Conta que ninguém reconhece é sinal de invasão. - Bloqueie os domínios do atacante no firewall ou na política de segurança de conteúdo: deepveindrilling[.]com, additionalver[.]com, lanhd6549tdhse[.]top, neswnsssn[.]click e manulfie[.]click, além de leqdger[.]click e crypto-insider[.]top.
- Depois da limpeza, troque as senhas do banco de dados, do painel e das integrações de API (pagamento, ERP, marketplace).
Um aviso: como o código não aparece para robôs, um scanner que diz "nada encontrado" não basta como prova. A busca no banco de dados é o que confirma.
Vale para lojas brasileiras?
A Sansec não divide as 953 lojas por país e não cita o Brasil. Também não há menção a WooCommerce, Nuvemshop, Shopify ou outras plataformas: a campanha descrita é de Magento. A falha, porém, não escolhe país: se a sua loja roda em Magento numa versão afetada, o risco é o mesmo.
Onde a Oneck entra
Loja virtual parada em versão antiga é porta aberta, mesmo quando tudo parece funcionar. A frente de Software & Sistemas da Oneck Creative cuida de sites e lojas com rotina de atualização, monitoramento e revisão de acessos. Se você não sabe em que versão a sua loja está, ou quem tem senha de administrador nela, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: Sansec: pesquisa sobre o carregador escondido em blocos CMS do Magento (24/10/2026, atualizada em 25/10); THN: criminosos infectam 953 lojas virtuais (26/10/2026); Adobe: boletim de segurança APSB26-73 (14/07/2026, atualizado em 11/08/2026); SecurityWeek: 953 lojas infectadas em campanha longa (26/10/2026).