Luka CVSS 10 w Magento wymaga hotfixu i rotacji poświadczeń

Adobe opublikowało biuletyn APSB26-146 7 września 2026 r., łatając CVE-2026-75650 — krytyczną, nieuwierzytelnioną lukę umożliwiającą zdalne wykonanie kodu w Adobe Commerce, Adobe Commerce B2B i Magento Open Source, którą firma Sansec nazwała „StyleSmuggler”. Luka ma maksymalną ocenę CVSS wynoszącą 10.0. CISA dodała ją do katalogu Known Exploited Vulnerabilities 8 września, wyznaczając federalny termin naprawy na 11 września, który już minął.

Co jest zagrożone i co się dzieje

Luka dotyczy wersji Commerce i Magento Open Source od 2.4.4 do 2.4.9, w tym wszystkich wydań poprawek aż do comiesięcznego wydania z sierpnia 2026 r., a także Commerce B2B od 1.3.3 do 1.5.3. Sansec zgłosiło pierwsze potwierdzone wykorzystanie 4 września, zanim Adobe opublikowało poprawkę, i udostępniło wskaźniki naruszenia, w tym nieoczekiwane serie powiadomień „Payment Transaction Failed”, procesy podszywające się pod fc-cache, chronyd lub kworker, nieznane wpisy cron oraz nieoczekiwane pliki PHP w katalogu pub/media.

Dlaczego sam hotfix nie wystarcza

Zastosowanie hotfixu VULN-39341 zamyka ścieżkę wykonania kodu, ale wytyczne Adobe wyraźnie mówią, że nie cofa on żadnego ujawnienia, które już nastąpiło. Podatny silnik szablonów znajduje się w pobliżu klucza szyfrującego, który chroni tokeny integracyjne, poświadczenia bramek płatniczych i tokeny automatyzacji o uprawnieniach systemowych. Jeśli atakujący dotarł do tego klucza przed zastosowaniem hotfixu, jedynym sposobem na domknięcie sprawy jest rotacja klucza — i wszystkich poświadczeń, które mógł on ujawnić.

Jak wygląda pełna naprawa

• Potwierdź, że hotfix VULN-39341 faktycznie został zastosowany — sam ciąg wersji tego nie dowodzi.
• Rotuj klucz szyfrujący zgodnie z procedurą rotacji Adobe Experience League.
• Rotuj poświadczenia administratora, integracyjne, OAuth, płatnicze, bazodanowe, SSH i rozszerzeń, które ten klucz mógł chronić.
• Przejrzyj zadania cron serwera i działające procesy pod kątem wskaźników opublikowanych przez Sansec.
• Ponownie potwierdź zakończenie naprawy po zweryfikowaniu rotacji, a nie tylko po zainstalowaniu hotfixu.

Biorąc pod uwagę aktywne wykorzystanie luki jeszcze przed istnieniem poprawki, każdy sprzedawca, który załatał system późno, powinien zakładać, że naruszenie jest możliwe, dopóki przegląd logów nie wykaże inaczej.

Źródła: Adobe APSB26-146, Adobe Experience League.