CISA zaradila chybu CVE-2026-71362 v Adobe Commerce a Magento medzi aktívne zneužívané

Americká agentúra CISA eviduje kritickú chybu v Adobe Commerce, Adobe Commerce B2B a Magento Open Source ako aktívne zneužívanú. Opravy sú dostupné od augusta.

CVE-2026-71362 v Adobe Commerce je od 24. septembra 2026 zaradená v katalógu Known Exploited Vulnerabilities (KEV) americkej agentúry CISA. Zaradenie znamená, že CISA má potvrdené zneužívanie tejto zraniteľnosti vo voľnej prírode. Chyba sa týka platforiem Adobe Commerce, Adobe Commerce B2B a Magento Open Source.

Adobe pre zraniteľnosť stanovilo skóre CVSS 9.1 z 10. Ide o chybu nesprávnej autorizácie, klasifikovanú ako CWE-863. Podľa výrobcu môže útočníkovi umožniť eskaláciu oprávnení a nevyžaduje interakciu používateľa.

CVE-2026-71362 je v katalógu KEV

Katalóg KEV zhromažďuje zraniteľnosti, pri ktorých CISA potvrdila zneužitie. Pre federálne civilné agentúry v USA CISA stanovila termín nápravy na 27. septembra 2026. Táto lehota sa síce priamo nevzťahuje na komerčné e-shopy ani iné súkromné organizácie, no zaradenie do KEV je dôvodom, aby prevádzkovatelia dotknutých inštalácií považovali aktualizáciu za urgentnú.

Adobe vydalo opravy 11. augusta 2026 v bezpečnostnom bulletine APSB26-92. Prevádzkovatelia Adobe Commerce, Adobe Commerce B2B a Magento Open Source by mali overiť, či majú nasadené opravené vydania uvedené v tomto bulletine.

Čo je o zneužívaní známe

Verejný záznam CISA neobsahuje technický popis útokov, rozsah kampane, údaje o obetiach ani indikátory kompromitácie. Nie je preto jasné, ktoré konkrétne verzie či nasadenia boli napadnuté a aký postup útočníci používajú.

Adobe pri aktualizácii svojho bulletinu 18. augusta uviedlo, že nepozná zneužitie zraniteľnosti vo voľnej prírode. Novšie zaradenie do KEV tento stav nahrádza potvrdením CISA z 24. septembra. Adobe však zatiaľ samostatne verejne nepotvrdilo detaily útokov.

Nezávisle nebol overený ani konkrétny verejný proof-of-concept a nie sú potvrdené tvrdenia o prevzatí zákazníckych účtov. Prevádzkovatelia by preto mali vychádzať z potvrdených informácií: chyba je aktívne zneužívaná, môže viesť k vyšším oprávneniam a opravy sú k dispozícii.

Čo majú prevádzkovatelia preveriť

  • Porovnať používanú verziu Adobe Commerce, Adobe Commerce B2B alebo Magento Open Source s opravenými vydaniami v bulletine APSB26-92.
  • Nasadiť dostupné bezpečnostné aktualizácie podľa pokynov Adobe.
  • Preveriť internetovo dostupné inštalácie a vykonať forenzné preverenie systémov podľa vlastných postupov.
  • Sledovať prípadné nové informácie Adobe alebo CISA, najmä indikátory kompromitácie, technické detaily a ďalšie mitigácie.

Pre e-commerce prevádzky je podstatné, že CVE-2026-71362 v Adobe Commerce už nie je iba kritickou chybou s dostupnou opravou. CISA ju eviduje ako aktívne zneužívanú zraniteľnosť, pričom verejne dostupné detaily o útokoch zatiaľ chýbajú.

Súvisiace články

Zdroje

  • CISA Known Exploited Vulnerabilities Catalog – Potvrdzuje zaradenie CVE-2026-71362 do KEV 24. septembra 2026, stav potvrdeného zneužívania a termín nápravy 27. septembra 2026.
  • Adobe Security Bulletin APSB26-92 – Potvrdzuje dotknuté produkty a verzie, CVSS 9.1, charakter chyby, dostupnosť opráv a pôvodné stanovisko Adobe z 18. augusta, že nepoznalo zneužitie vo voľnej prírode.
  • CIRCL KEV Entry: CVE-2026-71362 – Nezávisle reprodukuje údaje záznamu CISA KEV vrátane dátumu pridania, termínu nápravy a označenia confirmed exploited.

Overené a aktualizované: 25. 09. 2026 06:25

Značky
Zdieľanie

Súvisiace