La falla CVSS 10 di Magento richiede hotfix e rotazione delle credenziali

Adobe ha pubblicato APSB26-146 il 7 settembre 2026, correggendo CVE-2026-75650, una critica vulnerabilità di esecuzione di codice remoto non autenticata in Adobe Commerce, Adobe Commerce B2B e Magento Open Source che il ricercatore di sicurezza Sansec ha soprannominato "StyleSmuggler." Il bug ha il punteggio CVSS massimo di 10,0. CISA lo ha aggiunto al suo catalogo Known Exploited Vulnerabilities l'8 settembre con una scadenza federale di remediation dell'11 settembre, ormai superata.

Cosa è interessato e cosa sta succedendo

La falla interessa Commerce e Magento Open Source nelle versioni dalla 2.4.4 alla 2.4.9, incluse tutte le patch release fino alla release mensile di agosto 2026 compresa, più Commerce B2B dalla 1.3.3 alla 1.5.3. Sansec ha segnalato il primo sfruttamento confermato il 4 settembre, prima che la patch di Adobe fosse distribuita, e ha pubblicato indicatori di compromissione tra cui raffiche inattese di notifiche "Payment Transaction Failed", processi mascherati da fc-cache, chronyd o kworker, voci cron sconosciute e file PHP inattesi sotto pub/media.

Perché il solo hotfix non è una remediation

Applicare l'hotfix VULN-39341 chiude il percorso di esecuzione del codice, ma la guida di Adobe è esplicita: non annulla alcuna esposizione già avvenuta. Il motore di template vulnerabile si trova vicino alla chiave di crittografia che protegge i token di integrazione, le credenziali dei gateway di pagamento e i token di automazione con privilegi di sistema. Se un attaccante ha raggiunto quella chiave prima dell'applicazione dell'hotfix, ruotare la chiave — e ogni credenziale che potrebbe aver esposto — è l'unico modo per chiudere il cerchio.

Come si presenta una remediation completa

• Verifica che l'hotfix VULN-39341 sia effettivamente applicato: la sola stringa di versione non lo dimostra.
• Ruota la chiave di crittografia, seguendo la procedura di rotazione di Adobe Experience League.
• Ruota le credenziali admin, di integrazione, OAuth, di pagamento, del database, SSH e delle estensioni che quella chiave potrebbe aver protetto.
• Controlla i cron job del server e i processi in esecuzione per gli indicatori pubblicati da Sansec.
• Riattesta il completamento una volta verificata la rotazione, non solo dopo l'installazione dell'hotfix.

Dato lo sfruttamento attivo prima che la patch esistesse, qualsiasi merchant che abbia applicato la patch in ritardo dovrebbe presumere che la compromissione sia possibile finché la revisione dei log non dica il contrario.

Fonti: Adobe APSB26-146, Adobe Experience League.