Luka z oceną 10.0 w Adobe Commerce i Magento pozwala bez logowania przejąć serwer sklepu. Ataki ruszyły przed wydaniem poprawki. Zainstaluj hotfix VULN-39341, sprawdź sklep i zmień klucze oraz hasła.
Ten alert jest dla zarządu, CTO i CFO firm, które sprzedają przez sklep internetowy na Adobe Commerce lub Magento Open Source. Werdykt: zainstaluj dziś poprawkę Adobe VULN-39341, sprawdź sklep pod kątem włamania i zmień klucze oraz hasła, bo luka z oceną 10.0 pozwala bez logowania przejąć serwer sklepu, a ataki trwały już trzy dni przed wydaniem poprawki.
Amerykańska agencja CISA 8 września 2026 roku dopisała CVE-2026-75650 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Agencjom federalnym dała trzy dni na naprawę i nakazała sprawdzić, czy do włamania nie doszło wcześniej.
To luka dnia zerowego: przestępcy zaczęli ją wykorzystywać, zanim producent o niej wiedział. Według firmy Sansec, która nazwała ją StyleSmuggler, ataki ruszyły 4 września 2026 roku. Adobe wydał poprawkę awaryjną 7 września w biuletynie APSB26-146 i potwierdza ataki na sprzedawców Adobe Commerce. Luka dotyczy mechanizmu szablonów sklepu i pozwala napastnikowi bez logowania uruchomić własny kod na serwerze.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-75650 |
Data dodania do CISA KEV | 2026-09-08 |
Termin naprawy wg CISA | 2026-09-11 |
Produkt | Adobe Commerce, Adobe Commerce B2B, Magento Open Source |
Wersje zagrożone | Adobe Commerce 2.4.4 do 2.4.9 do wydań 2026-aug włącznie; Commerce B2B 1.3.3, 1.3.4, 1.4.2, 1.5.2, 1.5.3 do wydań 2026-aug; Magento Open Source 2.4.6 do 2.4.9 do wydań 2026-aug (wg Adobe). NVD uznaje za podatne także starsze wersje. Atak bez logowania, przez internet |
Wersje bezpieczne | Brak nowego pełnego wydania: trzeba zainstalować hotfix VULN-39341 (osobne pliki dla starszych wydań 2.4.4 do 2.4.8) i zmienić klucz szyfrowania. Dla gałęzi 2.2, 2.3 i 2.4.0 do 2.4.3 Adobe nie wydaje poprawek (wg Sansec) |
Typ podatności | Niewłaściwa neutralizacja elementów specjalnych w silniku szablonów, prowadząca do wykonania kodu; CWE-1336 |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1, Adobe; NVD przyjmuje ocenę Adobe). Priorytet Adobe: 1, najwyższy (wg Sansec) |
💡 Według Sansec pierwsza ofiara miała wersję 2.4.6-p15 ze wszystkimi poprawkami z lipca i sierpnia 2026 roku. Aktualność wcześniejszych poprawek nie chroni przed tą luką, liczy się wyłącznie hotfix VULN-39341.
Wyobraź sobie drukarnię, która drukuje ulotki z gotowych szablonów, a klient może dopisać na nich własny tekst. Pracownik sprawdza, czy tekst nie zawiera poleceń dla maszyny, ale nie zagląda do pola z opisem kolorów i czcionek. Oszust wpisuje tam instrukcję „wydrukuj kopię wszystkich zamówień i wyślij na mój adres”, a maszyna ją wykonuje.
Tak działa ta luka. Sklep na Magento buduje strony i wiadomości e-mail z szablonów, do których trafiają dane z zewnątrz. Napastnik przemyca w nich polecenia, które serwer sklepu wykonuje. Nie potrzebuje konta ani hasła, a efektem jest pełna kontrola nad sklepem, jego bazą klientów i zapisanymi danymi dostępowymi, np. do bramki płatniczej.
💡 Silnik szablonów to mechanizm, który składa strony i e-maile sklepu z gotowych wzorów i danych. Luka dnia zerowego to luka wykorzystywana przez przestępców, zanim producent wydał poprawkę. Hotfix to poprawka awaryjna instalowana na istniejącej wersji, bez pełnej aktualizacji sklepu. Klucz szyfrowania chroni w Magento m.in. tokeny integracji i dane dostępowe do płatności. Tylna furtka to ukryty program dający przestępcy stały dostęp do serwera.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Anonimowy odwiedzający sklep | Może przeglądać i kupować | Może uruchomić kod na serwerze sklepu |
Dane klientów i zamówień | Dostępne dla uprawnionych pracowników | Dostępne dla napastnika |
Dane dostępowe do bramki płatniczej | Zaszyfrowane w sklepie | Mogą zostać odczytane |
Sklep z poprawkami z sierpnia 2026 | Uważany za bezpieczny | Nadal podatny bez hotfixa VULN-39341 |
Instalacja hotfixa | Zamyka lukę | Nie usuwa już zainstalowanej tylnej furtki |
źródło: Pexels, Towfiqu barbhuiyaPoniżej typowy przebieg ataku dla tej klasy podatności, dopasowany do opisu Sansec. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie wymaga logowania, więc zagrożony jest każdy sklep dostępny z internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wyszukanie sklepów | T+0 | Automatyczne skanowanie sklepów na Magento i Adobe Commerce | Lista celów |
2. Przemycenie poleceń | T+minuty | Wstrzyknięcie złośliwej treści do mechanizmu szablonów | Polecenia czekają na wykonanie |
3. Wykonanie kodu | T+minuty | Sklep sam wykonuje przemycone polecenia | Kod przestępców działa na serwerze |
4. Tylna furtka | T+minuty do godzin | Instalacja ukrytego programu udającego proces systemowy | Stały dostęp do serwera |
5. Kradzież | T+godziny do dni | Odczyt bazy klientów, kluczy i danych dostępowych do płatności | Wyciek danych i straty finansowe |
Mogę Ci jakoś pomóc?
Sklep internetowy to często główne źródło przychodu i największy zbiór danych osobowych klientów w firmie. Luka ma maksymalną ocenę, nie wymaga logowania, a ataki są masowe i trwały, zanim istniała poprawka. Nawet sklep zaktualizowany dziś mógł zostać przejęty w dniach 4 do 7 września.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie sklepu na czas czyszczenia, zmiana wszystkich integracji i kluczy | Dni | 30 tys. do 300 tys. PLN (utracona sprzedaż, prace techniczne) |
Bezpieczeństwo danych | Kradzież danych klientów, zamówień i danych dostępowych do płatności | Godziny | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Nadużycia z użyciem wykradzionych danych dostępowych, koszty specjalistów | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Informowanie klientów o wycieku, utrata zaufania do sklepu | Miesiące | 50 tys. do 500 tys. PLN (utracona sprzedaż) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla sklepów Adobe Commerce / Magento
bez hotfixa VULN-39341
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo chodzi o przejęcie serwera sklepu z danymi klientów i płatności; prawdopodobieństwo jest najwyższe, bo atak nie wymaga logowania, jest zautomatyzowany i trwa od 4 września.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zainstalować hotfix VULN-39341 właściwy dla wersji sklepu i potwierdzić jego status | Dziś | Administrator lub agencja wdrożeniowa |
2 | 🔴 NATYCHMIAST | Sprawdzić sklep pod kątem włamania od 4 września 2026, zanim zostanie uznany za bezpieczny | Dziś | Zespół bezpieczeństwa |
3 | 🔴 NATYCHMIAST | Zmienić klucz szyfrowania i hasła wszystkich administratorów sklepu | Dziś | Administrator |
4 | 🔴 NATYCHMIAST | Zmienić u źródła dane dostępowe do bramek płatniczych, integracji, bazy danych i klucze SSH | Do jutra | CTO z dostawcami |
5 | 🟠 PILNIE | Dla wersji bez wsparcia (2.2, 2.3, 2.4.0 do 2.4.3) ocenić nieoficjalne poprawki na kopii testowej i zaplanować migrację | Do 3 dni | CTO |
6 | 🟠 PILNIE | Jeśli wykryto włamanie: ocenić obowiązek zgłoszenia do UODO i powiadomienia klientów | Do 72 godzin od wykrycia | Zarząd z prawnikiem |
7 | 🟡 WAŻNIE | Ustalić z agencją wdrożeniową czas reakcji na krytyczne poprawki Adobe | Do 30 dni | Kierownik e-commerce |
Adobe wydał poprawkę w formie hotfixa, więc podstawą jest jego instalacja. Adobe nie podaje obejścia, a według Sansec przeniesienie sesji do Redis lub bazy danych nie zatrzymuje ataku. Poniższe środki ograniczają ryzyko, nie usuwają luki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Czasowe przełączenie sklepu w tryb serwisowy do instalacji hotfixa | Wysoka | Łatwa, ale oznacza utratę sprzedaży |
Filtr ruchu aplikacji internetowej z regułami dla tej luki | Średnia: przestępcy zmieniają ładunki kilka razy dziennie | Średnia |
Nieoficjalne poprawki dla wersji bez wsparcia, po testach na kopii | Średnia: niezweryfikowane przez Adobe ani Sansec | Średnia do trudnej |
Zmiana przechowywania sesji | Niska wg Sansec | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Luka w szablonach | Otwarta dla każdego z internetu | Zamknięta hotfixem VULN-39341 |
Klucz szyfrowania i dane dostępowe | Mogą być w rękach przestępców | Zmienione u źródła |
Wiedza o włamaniu | Brak | Sklep sprawdzony, wynik udokumentowany |
Stare wersje sklepu | Bez poprawek producenta | Plan migracji z terminem |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA i Adobe); ataki od 4 września 2026 wg Sansec |
Grupy przestępcze | Brak publicznych informacji o sprawcach |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1, Adobe) |
PoC dostępny publicznie? | Brak publicznych informacji o PoC |
Liczba atakowanych firm | Brak publicznych informacji |
Charakter kampanii | Według Sansec ataki zautomatyzowane, ładunki zmieniane kilka razy dziennie, po włamaniu instalowana tylna furtka |
Okno bez ochrony dla sklepów Magento
04.09 ████ ataki bez dostępnej poprawki
05.09 ████ Sansec publikuje ostrzeżenie
06.09 ████ nowe wersje tylnej furtki
07.09 ██░░ Adobe wydaje hotfix
08.09 ░░░░ CISA dodaje lukę do KEV
Mogę Ci jakoś pomóc?
2026-08-18 Rezerwacja numeru CVE-2026-75650 przez Adobe
2026-09-04 Początek ataków wg Sansec (luka dnia zerowego)
2026-09-05 Sansec publikuje ostrzeżenie o StyleSmuggler
2026-09-07 Adobe publikuje APSB26-146 i hotfix VULN-39341, publikacja CVE
2026-09-08 CISA dodaje lukę do katalogu KEV
2026-09-11 Termin naprawy wg CISA; aktualizacja artykułu Adobe
2026-09-14 Ostatnia aktualizacja analizy Sansec
2026-09-17: TUTAJ JESTEŚMY Biuletyn Adobe: APSB26-146 . Instrukcja instalacji hotfixa i zmiany kluczy: Adobe Experience League, APSB26-146 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-75650 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić z agencją lub działem IT instalację hotfixa VULN-39341 | CTO | DZISIAJ |
2 | Zlecić sprawdzenie sklepu pod kątem włamania od 4 września | CTO | DZISIAJ |
3 | Zlecić zmianę klucza szyfrowania i wszystkich danych dostępowych | CTO | DO JUTRA |
4 | Zmienić dane dostępowe u operatora płatności i sprawdzić nietypowe transakcje | CFO | DO JUTRA |
5 | Zabezpieczyć budżet na analizę powłamaniową i ewentualną migrację | CFO | DO JUTRA |
6 | Przygotować wzór komunikatu do klientów na wypadek potwierdzenia wycieku | Zarząd | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Na jakiej wersji Adobe Commerce lub Magento działa nasz sklep? | [wersja] | 🔴 |
2 | Czy hotfix VULN-39341 jest zainstalowany i ma status Applied? | TAK / NIE, [data] | 🔴 |
3 | Czy sklep został sprawdzony pod kątem włamania od 4 września? | TAK / NIE | 🔴 |
4 | Czy zmieniono klucz szyfrowania sklepu? | TAK / NIE, [data] | 🔴 |
5 | Czy zmieniono dane dostępowe do bramki płatniczej i integracji u źródła? | TAK / NIE | 🟠 |
6 | Czy mamy sklepy testowe lub stare instancje, które też trzeba zabezpieczyć? | TAK / NIE | 🟠 |
7 | Jaki jest plan dla wersji sklepu bez wsparcia Adobe? | [data migracji] | 🟡 |
CVE-2026-75650 to luka dnia zerowego z oceną 10.0, która pozwala bez logowania przejąć sklep na Adobe Commerce lub Magento, a ataki trwały, zanim powstała poprawka. Sama instalacja hotfixa VULN-39341 nie wystarczy: trzeba też sprawdzić sklep pod kątem włamania i zmienić klucz szyfrowania oraz dane dostępowe u źródła. To zadanie na dziś dla każdej firmy sprzedającej na tej platformie.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.