Adobe публикува корекции за сигурност в понеделник, за да отстрани уязвимост с максимална степен на критичност, засягаща Adobe Commerce и Magento Open Source, която е обект на активна експлоатация.

Уязвимостта, следена като CVE-2026-75650 (CVSS оценка: 10.0), получи кодовото име StyleSmuggler от Sansec, които откриха нейното използване като уязвимост от тип нулев ден, започнало на 4 септември 2026 г.

„Това обновление отстранява критична уязвимост, която би могла да доведе до изпълнение на произволен код“, заявиха от Adobe, като добавиха, че са „информирани за това, че CVE-2026-75650 се експлоатира активно срещу търговци, използващи Adobe Commerce“.

В основата си уязвимостта злоупотребява със системата за шаблони на Magento чрез инжектиране на PHP код за генериране на имейл „Payment Transaction Failed Reminder“, което задейства изпълнението на зловреден код по време на процеса.

Проблемът засяга следните версии:

  • Adobe Commerce
  • Adobe Commerce B2B
  • Magento Open Source

Корекциите за сигурност са издадени като част от извънредно обновление (hotfix) и са достъпни за изтегляне от следния адрес: repo.magento[.]com/patch/VULN-39341-composer-patches.zip

„За да помогнете за отстраняването на уязвимостта за засегнатите продукти и версии, трябва да приложите корекцията VULN-39341 (в зависимост от вашата версия) и да подмените вашите ключове за криптиране“, посочиха от Adobe.

Развитието идва броени дни след като нидерландската компания за сигурност на електронната търговия разкри, че киберпрестъпници експлоатират CVE-2026-75650 за внедряване на Linux задна врата (backdoor), базирана на Rust, която се свързва с външен сървър и очаква последващи инструкции. Отделно, проблемът е бил използван и за доставяне на PHP дропър в уязвими сайтове, който записва web shell, способен да изпълнява произволен PHP код.

Според базираната в Нидерландия компания Disrex, Magento сървър, управляван от платформата за разработка на електронна търговия, е бил компрометиран 50 минути след съобщаването за първата потвърдена експлоатация на StyleSmuggler на 4 септември 2026 г. в 22:20 ч. UTC.

„StyleSmuggler превръща собствения код за обработка на шаблони и инжектиране на зависимости на Magento във верига за отдалечено изпълнение на код без автентификация“, съобщават от Disrex.

Телеметрични данни от Previdian показват, че от 7 септември 2026 г. насам са регистрирани 12 опита за експлоатация срещу техните примамки (honeypots) от два уникални IP адреса от Китай и Румъния. Въпреки това опитите са били неуспешни, заявява основателят и главен изпълнителен директор Райън Дюхърст.

Обновление

На 8 септември 2026 г. Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) добави CVE-2026-75650 към своя каталог с известни експлоатирани уязвимости (KEV), изисквайки от федералните цивилни агенции да инсталират корекциите за сигурност до 11 септември 2026 г.

В допълнение Adobe пусна и корекции за сигурност за над 170 уязвимости в своите продукти, включително CVE-2026-82004 (CVSS оценка: 10.0) – уязвимост за инжектиране на команди в операционната система в Campaign Classic, водеща до изпълнение на произволен код.

От Adobe бяха отстранени и две критични уязвимости в ColdFusion (CVE-2026-48273, CVSS оценка: 9.9 и CVE-2026-75746, CVSS оценка: 9.1), които биха могли да доведат до изпълнение на произволен код. Производителят на софтуер за уеб дизайн заяви, че не разполага с данни за налични експлоати в реални условия за някой от тези проблеми.