A Adobe liberou um hotfix emergencial para uma vulnerabilidade crítica no Adobe Commerce e no Magento Open Source.
Identificada como CVE-2026-75650, a falha recebeu nota máxima 10,0 no CVSS.
Ela permite execução arbitrária de código sem autenticação e, segundo a própria empresa, criminosos já exploram o problema em ataques reais.
Para lojas virtuais que usam Magento, a recomendação é direta: aplicar a correção com prioridade e investigar sinais de comprometimento.
Atacante pode explorar a falha sem login
O problema envolve o tratamento inadequado de elementos usados pelo mecanismo de templates.
Na prática, um atacante pode abusar da vulnerabilidade pela rede sem precisar de credenciais válidas e alcançar execução de código no ambiente afetado.
A combinação explica a pontuação máxima:
- CVSS 10,0;
- exploração remota;
- nenhuma autenticação necessária;
- nenhuma interação do usuário exigida;
- impacto potencial sobre confidencialidade, integridade e disponibilidade.
A Adobe classificou o boletim APSB26-146 com prioridade 1, nível reservado a correções que devem receber atenção imediata.
Adobe Commerce e Magento Open Source estão na lista
O alerta cobre diferentes ramos do Adobe Commerce e do Magento Open Source.
- No Magento Open Source, a Adobe lista versões 2.4.9-2026-aug e anteriores, além de ramos anteriores ainda contemplados pelo boletim.
- O Adobe Commerce e o módulo B2B também aparecem entre os produtos afetados.
A empresa não orienta apenas aguardar uma versão futura: ela disponibilizou um hotfix específico para a CVE-2026-75650.
Como há exploração ativa, instalar o patch resolve apenas uma parte do problema. Atacantes podem ter comprometido uma loja antes da correção.
Lojistas precisam corrigir e procurar sinais de invasão
Administradores devem primeiro confirmar a versão instalada e aplicar o hotfix oficial.
Em seguida, vale revisar logs, alterações recentes em arquivos, contas administrativas, integrações e comportamentos anormais no checkout.
Também é recomendável manter cópias de segurança atualizadas e evitar plugins ou extensões abandonadas.
Para quem terceiriza a operação, a pergunta ao provedor deve ser objetiva: sua equipe já aplicou o hotfix da CVE-2026-75650?
Se a resposta for negativa, o ambiente continua exposto a uma vulnerabilidade que, segundo a Adobe, criminosos já exploram no mundo real.
O que você achou? Siga @bitmagazineoficial no Instagram para ver mais e deixar seu comentário clicando aqui