Магазин на Magento, който не е обновен по бюлетина на Adobe, от днес е на списък, който някой вече използва.
Дупката е публична от средата на август. Това, което се смени на 24 септември, е, че CISA вече има потвърждение за реални атаки.
Факт
Фактите: на 24 септември 2026 г. CISA добави в каталога си на известни експлоатирани уязвимости (KEV) CVE-2026-71362 - грешна авторизация в Adobe Commerce и Magento, със срок за федералните агенции в САЩ 27 септември. Според описанието в NVD уязвимостта може да доведе до ескалация на права и достъп до чувствителни ресурси, без да е нужно действие от потребителя; Adobe я оценява с 9,1 (критична) по CVSS 3.1. Записът в NVD е публикуван на 11 август 2026 г. и сочи като бюлетин на производителя APSB26-92; като засегнати NVD изброява версии на Adobe Commerce, Adobe Commerce B2B и Magento Open Source. Страницата на бюлетина на Adobe върна отказ за достъп при проверката ни, затова версиите с поправка не са сверени лично.
Какво да направиш
Отвори административния панел и виж версията. После отвори бюлетина APSB26-92 от свой браузър и сравни. Ако версията ти е сред засегнатите, обновяваш веднага.
Грешна авторизация тук значи някой да види или да промени чувствителни ресурси в магазина, до които не бива. Без парола, без клик от твоя страна.
Кръпка, която още не си сложил, е покана с дата.
Ако поддържаш чужди магазини на Magento, днес не чакаш клиента да пита. Обновяваш и му пишеш, че е направено.
Източници
CVE-2026-71362 (NVD, със секцията CISA KEV)CISA: Known Exploited Vulnerabilities CatalogAdobe Security Bulletin APSB26-92 (не се отвори при проверката)Визуалът към статията е генериран код-арт, без чужди изображения.