Magento SessionReaper (CVE-2025-54236): ¿mi tienda está afectada y cómo la parcheo?

Qué es

• El boletín APSB25-88 de Adobe (9 de septiembre de 2025) describe una validación de entrada incorrecta crítica (CWE-20) que permite eludir una función de seguridad; CVSS 3.1 de 9.1, sin autenticación ni permisos de administrador.
• Según el artículo de soporte de Adobe, un atacante podría tomar el control de cuentas de clientes mediante la API REST de Commerce.
• Sansec, que bautizó el fallo como SessionReaper, informa que en algunas configuraciones puede llevar a ejecución remota de código sin autenticación. Es la conclusión de Sansec, no parte del boletín de Adobe.
• El 22 de octubre de 2025 Adobe añadió que conoce explotación activa y el 24 de octubre de 2025 subió la prioridad a 1.

Versiones afectadas

Cómo corregirlo

• Aplique el hotfix aislado VULN-32437-2-4-X-patch (en repo.magento.com) siguiendo las instrucciones de Adobe para parches composer, o actualice a una versión de seguridad posterior de su línea.
• Si tiene instalado magento/out-of-process-custom-attributes, actualícelo como indica Adobe (composer require magento/out-of-process-custom-attributes=0.4.0 --with-dependencies) y luego aplique el hotfix.
• Adobe Commerce en infraestructura cloud recibió reglas WAF de Adobe, pero el hotfix sigue siendo obligatorio.
• Como Adobe informa explotación activa, revise después las cuentas de clientes y el servidor en busca de compromiso.

Cómo revisar su tienda

Comandos de solo lectura. Compare la versión con la tabla; en Adobe Commerce cloud el parche debe figurar como Applied.

# Which Magento / Adobe Commerce version is installed? (read-only)
bin/magento --version
composer show magento/product-community-edition magento/product-enterprise-edition 2>/dev/null | grep -E '^(name|versions)'

# Is the Custom Attributes Serializable module installed, and which version?
composer show magento/out-of-process-custom-attributes 2>/dev/null | grep versions

# Adobe Commerce on cloud / with Quality Patches Tool: patch status
vendor/bin/magento-patches -n status | grep -E '32437|Status'

Y el PHP de debajo

Magento funciona sobre PHP, que tiene sus propios fallos PHP2Shell de octubre de 2026. Revise PHP por separado en la página de producto de Magento y en las páginas por versión de PHP.