Magento's CVSS 10-lek vereist hotfix én rotatie van inloggegevens

Adobe publiceerde APSB26-146 op 7 september 2026 en verhelpt daarmee CVE-2026-75650, een kritiek ongeauthenticeerd remote-code-execution-lek in Adobe Commerce, Adobe Commerce B2B en Magento Open Source dat beveiligingsonderzoeker Sansec de bijnaam "StyleSmuggler" heeft gegeven. Het lek heeft de maximale CVSS-score van 10.0. CISA voegde het op 8 september toe aan de Known Exploited Vulnerabilities-catalogus met een federale remediatiedeadline van 11 september, die inmiddels is verstreken.

Wat is er getroffen en wat gebeurt er

Het lek treft Commerce en Magento Open Source-versies 2.4.4 tot en met 2.4.9, inclusief alle patchreleases tot en met de maandelijkse release van augustus 2026, plus Commerce B2B 1.3.3 tot en met 1.5.3. Sansec meldde de eerste bevestigde exploitatie op 4 september, voordat Adobe's patch uitkwam, en heeft indicators of compromise gepubliceerd, waaronder onverwachte uitbarstingen van "Payment Transaction Failed"-meldingen, processen die zich voordoen als fc-cache, chronyd of kworker, onbekende cron-entries en onverwachte PHP-bestanden onder pub/media.

Waarom de hotfix alleen geen remediatie is

Het toepassen van hotfix VULN-39341 sluit het code-execution-pad, maar Adobe's eigen richtlijn is expliciet dat dit geen blootstelling ongedaan maakt die al heeft plaatsgevonden. De kwetsbare template-engine bevindt zich nabij de encryptiesleutel die integratietokens, betalingsgateway-inloggegevens en systeembevoorrechte automatiseringstokens beschermt. Als een aanvaller die sleutel heeft bereikt voordat de hotfix werd toegepast, is het roteren van de sleutel — en van elke inloggegevens die daardoor blootgesteld had kunnen zijn — de enige manier om de cirkel te sluiten.

Hoe een volledige remediatie eruitziet

• Bevestig dat hotfix VULN-39341 daadwerkelijk is toegepast — alleen een versienummer bewijst dat niet.
• Roteer de encryptiesleutel volgens Adobe's rotatieprocedure in Experience League.
• Roteer admin-, integratie-, OAuth-, betalings-, database-, SSH- en extensie-inloggegevens die die sleutel mogelijk heeft beschermd.
• Controleer server-cronjobs en lopende processen op de indicators die Sansec heeft gepubliceerd.
• Bevestig de voltooiing opnieuw zodra de rotatie is geverifieerd, niet alleen zodra de hotfix is geïnstalleerd.

Gezien actieve exploitatie voordat de patch bestond, moet elke handelaar die laat heeft gepatcht uitgaan van mogelijke compromittatie totdat de loganalyse het tegendeel aantoont.

Bronnen: Adobe APSB26-146, Adobe Experience League.