Immagine illustrativa generata con AI
Adobe Commerce e Magento sotto attacco: sfruttata CVE-2026-71362
Tentativi di attacco a Adobe Commerce e Magento sfruttando la vulnerabilità critica CVE-2026-71362. Aggiorna subito per proteggere i tuoi dati.
Testo generato da intelligenza artificiale, pubblicato senza revisione umana. Trasparenza IA
Rilevati tentativi contro una falla critica
Il 12 agosto 2026 sono stati rilevati tentativi di sfruttamento di CVE-2026-71362, una vulnerabilità critica in Adobe Commerce e Magento.
La falla riguarda un errore di autorizzazione e può consentire a un attaccante non autenticato di accedere a risorse sensibili e compromettere account cliente. Non servono un account già registrato, privilegi amministrativi o interazione da parte dell’utente.
Sansec ha dichiarato che il proprio Shield WAF sta bloccando i tentativi osservati. Adobe, invece, afferma di non essere a conoscenza di sfruttamenti attivi delle vulnerabilità corrette con l’aggiornamento. Al momento non è quindi indicato che gli attacchi rilevati abbiano prodotto compromissioni riuscite.
Come funziona l’attacco alla sessione cliente
L’analisi della patch indica una gestione errata dell’identità del cliente nella sessione. Un aggressore può tentare di associare la propria sessione all’account di un altro cliente, ottenendo accesso al profilo e ai dati privati collegati.
Il problema è particolarmente rilevante per i negozi online, perché un attacco riuscito potrebbe esporre informazioni personali e consentire l’accesso ad account senza autenticazione legittima.
Le versioni esatte coinvolte non sono state rese note. Sono interessate le linee supportate di Adobe Commerce, Adobe Commerce B2B e Magento.
Le sette vulnerabilità corrette
L’aggiornamento di sicurezza di agosto 2026 risolve sette problemi:
| Identificativo | Gravità | Impatto e requisiti |
|---|---|---|
| CVE-2026-71362 | Critica | Errata autorizzazione, accesso non autenticato a risorse sensibili e possibile compromissione di account cliente. |
| CVE-2026-48414 | Alta, CVSS 7.7 | XSS persistente, con possibile esecuzione di codice arbitrario; richiede autenticazione e privilegi amministrativi. |
| CVE-2026-48413 | Alta, CVSS 8.7 | XSS persistente e possibile esecuzione di codice arbitrario; richiede autenticazione, ma non privilegi amministrativi. |
| CVE-2026-48415 | Alta, CVSS 7.6 | Errata autorizzazione in Adobe Commerce B2B; richiede autenticazione, senza privilegi amministrativi. |
| CVE-2026-48416 | Alta, CVSS 7.5 | Errata autorizzazione e possibile elusione di funzionalità di sicurezza; non richiede autenticazione. |
| CVE-2026-48411 | Media, CVSS 6.5 | Errata autorizzazione e possibile elusione di funzionalità di sicurezza; richiede autenticazione e privilegi amministrativi. |
| CVE-2026-48412 | Bassa, CVSS 2.7 | Errata autorizzazione con possibile escalation di privilegi; richiede autenticazione e privilegi amministrativi. |
Cosa devono fare gli amministratori
Gli operatori devono applicare rapidamente l’aggiornamento di sicurezza di agosto 2026 alle release supportate di Commerce, Commerce B2B e Magento.
Le correzioni sono distribuite come patch isolate, non come nuova release di sicurezza o pacchetti Composer aggiornati. Prima dell’installazione occorre verificare che l’ambiente utilizzi l’ultima release “-p” disponibile per il ramo supportato.
È inoltre opportuno mantenere o implementare regole WAF capaci di bloccare i tentativi associati a CVE-2026-71362. Sansec Shield sta già applicando questo tipo di protezione. Le organizzazioni dovrebbero anche verificare i log di autenticazione e accesso agli account cliente, concentrandosi su associazioni di sessione anomale e accessi non riconducibili agli utenti.
Fonti
Questo articolo è una rielaborazione originale basata sulle fonti seguenti.
CVE trattate in questo articolo
- CVE-2026-71362CRITICAL9.1Adobe Commerce is affected by an Incorrect Authorization vulnerability that could result in privilege escalation. An attacker could leverage this vulnerability to gain elevated access to sensitive resources. Exploitation of this issue does not require user interaction.
- CVE-2026-48413HIGH8.7Adobe Commerce is affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by a low-privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim's browser when they browse to the page containing the vulnerable
- CVE-2026-48414HIGH7.7Adobe Commerce is affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by a low-privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim's browser when they browse to the page containing the vulnerable
- CVE-2026-48415HIGH7.6Adobe Commerce is affected by an Incorrect Authorization vulnerability that could result in a Security feature bypass. A low-privileged attacker could leverage this vulnerability to bypass security measures and gain unauthorized read and write access, causing a limited disruption to availability. Ex
- CVE-2026-48416HIGH7.5Adobe Commerce is affected by an Incorrect Authorization vulnerability that could result in a Security feature bypass. An attacker could leverage this vulnerability to bypass security measures and gain unauthorized read access. Exploitation of this issue does not require user interaction.
- CVE-2026-48411MEDIUM6.5Adobe Commerce is affected by an Incorrect Authorization vulnerability that could result in a Security feature bypass. An attacker with high privileges could leverage this vulnerability to bypass security measures and gain unauthorized write access. Exploitation of this issue does not require user i
- CVE-2026-48412LOW2.7Adobe Commerce is affected by an Incorrect Authorization vulnerability that could result in privilege escalation. An attacker with high privileges could exploit this vulnerability to gain elevated access to restricted resources. Exploitation of this issue does not require user interaction.