Adobe Commerce és Magento nem megfelelő bemenetellenőrzése magas jogosultságú támadóknak tetszőleges kód futtatását teszi lehetővé (CVE-2026-95631)

Mi történt

Az Adobe Commerce, az Adobe Commerce B2B és a Magento Open Source a CVE-2026-95631 azonosítóval követett, nem megfelelő bemenetellenőrzési sérülékenység által érintett. A CVE-rekord szerint magas jogosultságú támadó kihasználhatja a hibát, és az aktuális felhasználó környezetében tetszőleges kódot futtathat. A kihasználáshoz nincs szükség felhasználói interakcióra, és a hatókör megváltozik.

A CVSS 3.1-es pontszám 8,7, ami magas besorolásnak felel meg. A támadási vektor hálózati, a támadás bonyolultsága alacsony, a kihasználáshoz magas jogosultság szükséges, és nincs szükség felhasználói interakcióra. A hatás a sértetlenségre és a rendelkezésre állásra magas, a bizalmasságra nincs hatással. A CVE-rekord nem rögzít kihasználást; a CISA KEV nem tartalmazza ezt a hibát, és nyilvános közzétételt sem rögzítettek.

Kit érint

Az érintett verziók a 2026. szeptemberi buildek, az alábbi verziókkal bezárólag:

• Adobe Commerce: 2.4.9-2026-sep, 2.4.8-2026-sep, 2.4.7-2026-sep, 2.4.6-2026-sep, 2.4.5-2026-sep, 2.4.4-2026-sep
• Adobe Commerce B2B: 1.5.3-2026-sep, 1.5.2-2026-sep, 1.4.2-2026-sep, 1.3.4-2026-sep, 1.3.3-2026-sep
• Magento Open Source: 2.4.9-2026-sep, 2.4.8-2026-sep, 2.4.7-2026-sep

Ezek a termékek jellemzően nyilvános webáruházakat és back-office rendszereket szolgálnak ki. Ha a fenti buildek valamelyikén üzemeltet Adobe Commerce vagy Magento rendszert, érintett.

Mit kell most tenni

1. Telepítse az Adobe javított buildjeit. A javítottként megjelölt verziók a következők:

• Adobe Commerce: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct, 2.4.6-2026-oct, 2.4.5-2026-oct, 2.4.4-2026-oct
• Adobe Commerce B2B: 1.5.4-alpha1, 1.5.3-2026-oct, 1.5.2-2026-oct, 1.4.2-2026-oct, 1.3.4-2026-oct, 1.3.3-2026-oct
• Magento Open Source: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct

1. A CVE-rekord nem sorol fel kerülő megoldást. Elsődleges intézkedésként telepítse a javított buildet.
2. Ha nem tudja azonnal telepíteni a biztonsági javítást, korlátozza a Commerce adminisztrációs felülethez való hozzáférést, és vizsgálja felül a magas jogosultságú fiókokat. A kihasználáshoz magas jogosultság szükséges, ezért a jogosultsággal rendelkező felhasználók számának és jogosultsági szintjének csökkentése mérsékli a közvetlen kitettséget.

Hogyan észlelhető

Az Adobe nem tett közzé kompromittálódási mutatókat ehhez a CVE-hez. Mivel a kihasználáshoz magas jogosultság szükséges, azokra az adminisztratív és integrációs fiókokra összpontosítson, amelyek kódot módosíthatnak, csomagokat telepíthetnek, vagy módosíthatják a kiszolgáló konfigurációját. Hasonlítsa össze a közelmúltbeli változtatásokat a telepítési folyamattal; a magas jogosultságú fiók által végrehajtott váratlan műveletek az elsődlegesen átvizsgálandó elemek.

Nyilvános kihasználást vagy közzétételt nem rögzítettek, ezért a rutinszerű megfigyelés legyen arányos mértékű.

A javításon túl

Egy Commerce rendszer kompromittálódása nem csupán webhelyprobléma; olyan ügyfélkapcsolati üzleti rendszer, amely mögött megrendelési és adminisztratív hozzáférés áll. A Bevezetési és felmérési szolgáltatások keretében végzett penetrációs teszt és biztonsági megerősítési felülvizsgálat megerősítheti, milyen támadási útvonalak érhetők el egy magas jogosultságú felhasználó számára, a Menedzselt kiberbiztonsági felügyelet pedig a SIEM- és EDR-rendszerekben észlelheti a kihasználást követő támadói tevékenységet, mielőtt az szélesebb körű incidenssé válna.