CVE-2026-45247

A extensão Mirasvit Full Page Cache Warmer para Magento 2 passa entrada controlada pelo atacante diretamente para a função `unserialize()` do PHP. Um atacante não autenticado coloca um objeto PHP serializado manipulado no cookie CacheWarmer e, quando a extensão o desserializa, a injeção de objeto dispara uma gadget chain construída a partir de classes já presentes no Magento e em suas dependências. Essa cadeia leva a aplicação a executar código arbitrário no servidor — uma clássica escalada de injeção de objeto PHP de uma requisição não autenticada para RCE total.

O Magento roda lojas virtuais de e-commerce, então um servidor comprometido expõe dados de clientes e fluxos de pagamento e é um alvo primário para código de skimming e coleta de cartões injetado no checkout — o padrão Magecart que atormenta a plataforma há anos. As extensões de terceiros são um ponto fraco recorrente precisamente porque ampliam a superfície de ataque além do núcleo do Magento, e uma RCE não autenticada disparada por cookie precisa apenas de uma única requisição. Atualize o Full Page Cache Warmer para a 1.11.12 ou posterior e, como o comprometimento de lojas frequentemente se manifesta como skimmers injetados no lado do cliente, revise a loja virtual em busca de código não autorizado, usuários administradores inesperados e templates de checkout modificados, além de aplicar o patch.