Defectul CVSS 10 al Magento necesită un hotfix și o rotație a credențialelor

Adobe a publicat APSB26-146 pe 7 septembrie 2026, remediind CVE-2026-75650, o vulnerabilitate critică de execuție de cod de la distanță neautentificată în Adobe Commerce, Adobe Commerce B2B și Magento Open Source, pe care cercetătorul în securitate Sansec a poreclit-o „StyleSmuggler”. Defectul are scorul CVSS maxim de 10,0. CISA l-a adăugat în catalogul său de Vulnerabilități Exploatate Cunoscute pe 8 septembrie, cu un termen federal de remediere de 11 septembrie, care a expirat deja.

Ce este afectat și ce se întâmplă

Defectul afectează versiunile Commerce și Magento Open Source de la 2.4.4 până la 2.4.9, inclusiv toate versiunile de patch până la și inclusiv versiunea lunară din august 2026, plus Commerce B2B de la 1.3.3 până la 1.5.3. Sansec a raportat prima exploatare confirmată pe 4 septembrie, înainte ca patch-ul Adobe să fie livrat, și a publicat indicatori de compromitere, inclusiv rafale neașteptate de notificări „Tranzacție de plată eșuată”, procese deghizate ca fc-cache, chronyd sau kworker, intrări cron necunoscute și fișiere PHP neașteptate sub pub/media.

De ce doar hotfix-ul nu este remediere

Aplicarea hotfix-ului VULN-39341 închide calea de execuție a codului, dar ghidul propriu al Adobe este explicit că nu anulează nicio expunere care a avut loc deja. Motorul de șabloane vulnerabil se află în apropierea cheii de criptare care protejează tokenurile de integrare, credențialele gateway-ului de plată și tokenurile de automatizare cu privilegii de sistem. Dacă un atacator a ajuns la acea cheie înainte ca hotfix-ul să fie aplicat, rotirea cheii — și a fiecărei credențiale pe care ar fi putut-o expune — este singura modalitate de a închide bucla.

Cum arată o remediere completă

• Confirmați că hotfix-ul VULN-39341 este aplicat efectiv — doar un șir de versiune nu dovedește acest lucru.
• Rotiți cheia de criptare, urmând procedura de rotație din Experience League a Adobe.
• Rotiți credențialele de admin, integrare, OAuth, plată, bază de date, SSH și extensii pe care acea cheie le-ar fi putut proteja.
• Revizuiți sarcinile cron ale serverului și procesele în execuție pentru indicatorii publicați de Sansec.
• Re-atestați finalizarea odată ce rotația este verificată, nu doar odată ce hotfix-ul este instalat.

Având în vedere exploatarea activă înainte ca patch-ul să existe, orice comerciant care a aplicat patch-ul târziu ar trebui să presupună că compromiterea este posibilă până când revizuirea jurnalelor spune altfel.

Surse: Adobe APSB26-146, Adobe Experience League.