Adobe heeft twaalf kwetsbaarheden verholpen in Adobe Commerce, de webwinkelsoftware die ook als Magento Open Source wordt uitgebracht. Het NCSC meldt de update in advisory NCSC-2026-0436 van 16 oktober 2026. De patches gelden voor Adobe Commerce zelf, de bijbehorende B2B-extensie en Magento Open Source.
De ernstigste fout is CVE-2026-103849, een kwetsbaarheid in de template-engine van het platform met de maximale CVSS-score van 10.0. Een aanvaller heeft geen inloggegevens nodig om via deze fout willekeurige code op de server uit te voeren. Ook CVE-2026-92909 (9.8) is zonder authenticatie te misbruiken en treft specifiek de B2B-module, eveneens met code-uitvoering tot gevolg. Daarnaast verhelpt de update diverse stored cross-site scripting-kwetsbaarheden, waarvan CVE-2026-91013 en CVE-2026-100133 met 9.3 het hoogst scoren: een aanvaller injecteert daarbij kwaadaardige JavaScript in formuliervelden, die vervolgens in de browser van een ander slachtoffer wordt uitgevoerd, bijvoorbeeld om een sessie te kapen of rechten te verhogen. Verder repareert Adobe kwetsbaarheden in de autorisatielogica waarmee gebruikers met minimale rechten beveiligingscontroles kunnen omzeilen.
Adobe Commerce is kwetsbaar van versie 2.4.4 tot en met 2.4.9-2026-sep, te verhelpen met de updates 2.4.4-2026-oct tot en met 2.4.9-2026-oct. Magento Open Source is kwetsbaar van 2.4.6 tot en met 2.4.9-2026-sep en gepatcht met dezelfde reeks oktoberupdates. De B2B-extensie, kwetsbaar in de versies 1.3.3, 1.3.4, 1.4.2, 1.5.2 en 1.5.3-2026-sep, krijgt eigen oktoberpatches. Adobe meldt geen aanwijzingen voor actieve exploitatie van een van de twaalf fouten, maar waarschuwt dat de eerder uitgebrachte hotfix voor CVE-2026-75650 uit bulletin APSB26-146 los van deze update moet worden toegepast.
Voor winkeliers en bureaus die een webshop op Adobe Commerce of Magento Open Source draaien, is haast geboden. Magento-gebaseerde shops zijn al jaren een vast doelwit van geautomatiseerde aanvallen die zoeken naar skimmingcode voor betaalgegevens, en een ongeauthenticeerde RCE met CVSS 10.0 in een veelgebruikt platform wordt doorgaans snel in scantools opgenomen zodra de details van de fix bekend worden. Werk daarom eerst de productieomgeving bij naar de release van oktober voor uw lijn, test custom extensies en thema’s in een acceptatieomgeving omdat Adobe-updates vaker compatibiliteitsproblemen geven, en vergeet de losse hotfix voor CVE-2026-75650 niet. Sla de 2.4.10-alpha1- en 1.5.4-alpha1-releases over voor productie, dat zijn voorlopige versies bedoeld om tegen te testen, niet om op te draaien.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Beheert u een webshop op Adobe Commerce of Magento Open Source? Werk de productieomgeving bij naar de release van oktober voor uw lijn, pas ook de losse hotfix voor CVE-2026-75650 toe, en test custom extensies eerst in een acceptatieomgeving.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.