Magentos CVSS 10-sårbarhet kräver hotfix och rotation av autentiseringsuppgifter

Adobe publicerade APSB26-146 den 7 september 2026 och åtgärdade CVE-2026-75650, en kritisk oautentiserad fjärrkodsexekveringssårbarhet i Adobe Commerce, Adobe Commerce B2B och Magento Open Source som säkerhetsforskaren Sansec har gett smeknamnet "StyleSmuggler." Sårbarheten har den maximala CVSS-poängen 10,0. CISA lade till den i sin katalog över kända utnyttjade sårbarheter den 8 september med en federal tidsfrist för åtgärd den 11 september, som nu har passerat.

Vad som påverkas och vad som händer

Sårbarheten påverkar Commerce och Magento Open Source versionerna 2.4.4 till och med 2.4.9, inklusive alla patchversioner fram till och med månadsutgåvan från augusti 2026, samt Commerce B2B 1.3.3 till och med 1.5.3. Sansec rapporterade den första bekräftade exploateringen den 4 september, innan Adobes patch hade skickats, och har publicerat kompromissindikatorer som bland annat oväntade notifieringsstormar av "Payment Transaction Failed", processer förklädda som fc-cache, chronyd eller kworker, okända cron-poster och oväntade PHP-filer under pub/media.

Varför enbart hotfixen inte räcker som åtgärd

Att tillämpa hotfix VULN-39341 stänger vägen för kodexekvering, men Adobes egen vägledning är tydlig med att den inte ångrar någon exponering som redan har inträffat. Den sårbara mallmotorn ligger nära krypteringsnyckeln som skyddar integrationstoken, betalningsgateway-uppgifter och systemprivilegierade automatiseringstoken. Om en angripare fick åtkomst till nyckeln innan hotfixen tillämpades, är rotation av nyckeln – och varje autentiseringsuppgift som den kan ha exponerat – det enda sättet att åtgärda problemet fullt ut.

Hur en fullständig åtgärd ser ut

• Bekräfta att hotfix VULN-39341 verkligen har tillämpats – en versionssträng ensam bevisar det inte.
• Rotera krypteringsnyckeln enligt Adobes rotationsprocedur i Experience League.
• Rotera admin-, integrations-, OAuth-, betalnings-, databas-, SSH- och tilläggsuppgifter som nyckeln kan ha skyddat.
• Granska serverns cron-jobb och körande processer efter de indikatorer som Sansec har publicerat.
• Bekräfta slutförandet på nytt när rotationen har verifierats, inte bara när hotfixen har installerats.

Med tanke på aktiv exploatering innan patchen fanns bör varje handlare som patchade sent utgå från att en kompromiss är möjlig tills loggkontrollen säger något annat.

Källor: Adobe APSB26-146, Adobe Experience League.