linux-server-admin.cz
Zpět na blog
Bezpečnost31. října 2026Michael Hettwer5 min čtení

Magento bezpečnostní aktualizace: zero-day a bulletin 2026

Adobe vydala tři aktualizace pro Magento za pět týdnů. CVE, patchovací stavy, postup hotfixu a rotace přihlašovacích údajů stručně.

Za pět týdnů vydala Adobe tři bezpečnostní aktualizace pro Adobe Commerce a Magento Open Source: zneužitý zero-day (7. září), pravidelný zářijový bulletin (8. září) a říjnový bulletin (13. října). Co období skutečně obsahovalo, ukazují níže odkazované Adobe Security Bulletins (https://www.adobe.com/trust/security/bulletins-and-advisories.html).

7. září: APSB26-146, zneužitý zero-day

Adobe publikovalo APSB26-146 (https://www.adobe.com/security/products/magento/apsb26-146.html) s prioritou 1. Skrývá se za ním CVE-2026-75650 — neautentizované vzdálené spuštění kódu v kategorii šablonového stroje (CWE-1336) s CVSS 3.1 skóre 10.0 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Adobe uvádí, že zranitelnost byla zneužívána v praxi; výzkumníci z Tenable viděli první zneužití kolem 4. září a CISA 8. září zařadila CVE do katalogu Known Exploited Vulnerabilities.

Postiženo (sestavení z srpna 2026 a starší):

  • Adobe Commerce 2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug, 2.4.6-2026-aug, 2.4.5-2026-aug, 2.4.4-2026-aug a starší
  • Adobe Commerce B2B 1.5.3-2026-aug a starší (1.5.2, 1.4.2, 1.3.4, 1.3.3)
  • Magento Open Source 2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug, 2.4.6-2026-aug a starší

Opravou je hotfix VULN-39341 — composer patch z repo.magento.com, nikoliv nové číslo verze — a Adobe k němu dokumentuje kompletní rotaci přístupových údajů: režim údržby, zastavení cronu, rotace šifrovacího klíče plus hesel administrátorů, integračních tokenů, OAuth secrets, údajů platebních bran, databázových, Fastly a SSH klíčů, pak flush cache a nové nasazení. Hotfix dorazil dny po prvním zneužití — každý veřejně dostupný shop považujte za pravděpodobný případ kompromitace: CERTVU Advisory 273 (https://cert.gov.vu/images/publications/2026/Advisory_273.pdf) uvádí konkrétní IOCs, včetně zamaskovaných procesů (fc cache, chronyd) na neobvyklých umístěních, web shells pod pub/media/ a souborů obsahujících x_trace_ pod var/report/.

8. září: APSB26-138, pravidelný bulletin

Den nato následovala pravidelná zářijová aktualizace, APSB26-138 (https://www.adobe.com/trust/security/products/magento/apsb26-138.html) (priorita 2). Řeší osm zranitelností — mimo jiné dvě zranitelnosti typu stored XSS s eskalací oprávnění, zneužitelné bez autentizace (CVE-2026-76200 a CVE-2026-76201, obě CVSS 9.3), řadu chyb nesprávné autorizace (do 8.7, některé u Adobe Commerce B2B) a path traversal (CVE-2026-77110, CVSS 7.6). Pozoruhodné: opravy vychází jako zářijový isolated patch — Adobe nevypustilo nové -pN vydání — a bulletin sám připomíná, aby se hotfix APSB26-146 aplikoval navíc.

13. října: APSB26-153, jedenáct CVE v říjnovém bulletinu

Aktualizace z 13. října, APSB26-153 (https://www.adobe.com/trust/security/products/commerce/apsb26-153.html) (priorita 2), opravuje jedenáct CVE pro Adobe Commerce, Adobe Commerce B2B a Magento Open Source na zářijových sestaveních 2026 a starších. O zneužití v praxi u těchto problémů Adobe neví. Výčet dle oficiálního bulletinu:

  • CVE-2026-103849 — CVSS 3.1: 10.0 — šablonový stroj (CWE-1336), vzdálené spuštění kódu — Nutná autentizace: Ne
  • CVE-2026-92909 — CVSS 3.1: 9.8 — nesprávná autorizace (CWE-863), vzdálené spuštění kódu — Nutná autentizace: Ne — Pzn.: B2B
  • CVE-2026-91013 — CVSS 3.1: 9.3 — stored XSS, eskalace oprávnění — Nutná autentizace: Ne
  • CVE-2026-100133 — CVSS 3.1: 9.3 — stored XSS, eskalace oprávnění — Nutná autentizace: Ne
  • CVE-2026-92464 — CVSS 3.1: 9.1 — nesprávná validace vstupu, vzdálené spuštění kódu — Nutná autentizace: Ano
  • CVE-2026-92911 — CVSS 3.1: 8.7 — stored XSS, vzdálené spuštění kódu — Nutná autentizace: Ano
  • CVE-2026-95631 — CVSS 3.1: 8.7 — nesprávná validace vstupu, zápis do souborového systému — Nutná autentizace: Ano
  • CVE-2026-92908 — CVSS 3.1: 8.3 — nesprávná autorizace, obcházení obrany — Nutná autentizace: Ano — Pzn.: B2B
  • CVE-2026-92922 — CVSS 3.1: 8.1 — stored XSS, eskalace oprávnění — Nutná autentizace: Ano
  • CVE-2026-92910 — CVSS 3.1: 7.2 — nesprávná autorizace, obcházení obrany — Nutná autentizace: Ne — Pzn.: B2B
  • CVE-2026-95630 — CVSS 3.1: 4.3 — nesprávná validace vstupu, obcházení obrany — Nutná autentizace: Ano

Opraveny jsou úrovně -2026-oct (isolated patch) pro podporované větve (tj. 2.4.9-2026-oct po 2.4.4-2026-oct pro Adobe Commerce, 1.5.3-2026-oct a dále pro B2B, 2.4.9-2026-oct po 2.4.7-2026-oct pro Magento Open Source); 2.4.10-alpha1 (https://www.adobe.com/trust/security/products/commerce/apsb26-153.html) je první alfa nové řady. Pro plán patchování jsou klíčové dva body: dle Adobe release notes není hotfix pro CVE-2026-75650 součástí říjnového isolated patchu (https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-49323) a musí se instalovat zvlášť; a CVE-2026-103849 leží ve stejné kategorii CWE-1336 jako zářijový zero-day, aniž je vyžadována autentizace.

Co dělat teď

  • Zjistit nasazenou úroveň sestavení každého shopu, pak aplikovat: říjnovou úroveň sestavení či říjnový isolated patch pro APSB26-153; hotfix VULN-39341, pokud dosud chybí — dle KB Adobe není pořadí striktně předepsáno; a zářijový isolated patch, pokud vaše větev ještě nemá opravy APSB26-138.
  • Ověřit, že hotfix opravdu sedí — Adobe dokumentuje vendor/bin/magento-patches -n status | grep 39341 jako potvrzení.
  • Vystavené okno brát jako vyšetřování kompromitace, ne jen patchovací cvičení: porovnat IOCs výše, pak projít dokumentovanou rotaci údajů (šifrovací klíč, hesla administrátorů, integrační tokeny, OAuth secrets, platební brány, databázi/Fastly, SSH a deploy klíče).
  • Utáhnout stranou serveru: aktuální zálohy před patchováním, procházení logů proti IOC seznamu a otestovaná cesta rollbacku, když nějaký krok nezvládne.

Závěr

Na aplikační vrstvě řídí patchování váš Magento tým. Ovšem téměř vše z pětice týdnů se hrálo na vrstvě serverové: composer patche padající uprostřed běhu, rotovaná hesla a tokeny, hon za web shelly, v nejhorším případě obnova záloh. Právě tam pracuje Linux-Server-Admin.com s.r.o. (https://linux-server-admin.com) po boku provozovatelů shopů: spravujeme linuxové servery pod tím, udržujeme zálohy a monitoring stále aktuální, hlídáme souborový systém a logy proti výše uvedeným indikátorům a dáváme Magento týmu prostředí, kde je patchování rutinou, ne hasičským zájezdem.

Zdroje

  • APSB26-146: https://www.adobe.com/security/products/magento/apsb26-146.html
  • APSB26-138: https://www.adobe.com/trust/security/products/magento/apsb26-138.html
  • APSB26-153: https://www.adobe.com/trust/security/products/commerce/apsb26-153.html
  • Návod na hotfix (Adobe Commerce KB): https://experienceleague.adobe.com/en/docs/commerce-knowledge-base/kb/announcements/commerce-apsb26-146
  • Říjnové release notes (KB): https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-49323
  • Tenable FAQ k CVE-2026-75650: https://www.tenable.com/blog/stylesmuggler-cve-2026-75650-frequently-asked-questions-about-adobe-commerce-and-magento-zero
  • CERTVU Advisory 273: https://cert.gov.vu/images/publications/2026/Advisory_273.pdf
  • NVD položka: https://nvd.nist.gov/vuln/detail/CVE-2026-75650

Předchozí

PHP bezpečnostní aktualizace: kritické chyby RCE 2026