Cosa fa davvero la falla

CVE-2026-71362 è una vulnerabilità di autorizzazione errata con un punteggio CVSS di 9.1 in Adobe Commerce, Commerce B2B e Magento Open Source. Permette a un attaccante non autenticato di scambiare la sessione di un cliente con l'account di un cliente diverso, dando così all'attaccante accesso alla cronologia ordini, agli indirizzi salvati e ai dati di pagamento memorizzati della vittima senza bisogno di una password, di un account proprio né di alcuna interazione da parte della vittima.

Adobe ha corretto così la falla nel ciclo di Patch Tuesday di agosto 2026, insieme ad altri sei problemi di sicurezza nei tre prodotti, e al momento dell'avviso ha dichiarato di non avere prove che il bug fosse sfruttato nel mondo reale. La società di sicurezza Sansec, che gestisce telemetria di rilevamento su una grande parte dei negozi Magento e Adobe Commerce nel mondo, racconta una storia diversa su cosa è successo dopo.

Perché è stata colpita entro poche ore

Sansec afferma che il proprio firewall applicativo Shield ha iniziato a bloccare tentativi reali di sfruttamento contro CVE-2026-71362 poco dopo la pubblicazione dell'avviso di Adobe -- gli attaccanti sono passati dalle note della patch ad attacchi reali in poche ore, non giorni. Questo scarto tra divulgazione e sfruttamento è ormai la norma per questa piattaforma, non l'eccezione: Adobe Commerce e Magento hanno perciò una lunga storia di falle critiche trasformate in armi quasi non appena diventano pubblici i dettagli tecnici necessari a costruire un exploit, perché il codice sottostante gira su una base installata enorme e lenta ad aggiornarsi di negozi online indipendenti.

Anche il meccanismo di presa di controllo dell'account è insolitamente pericoloso per una falla a livello di negozio: la maggior parte delle vulnerabilità nell'e-commerce richiede un accesso preventivo, ma questa permette a un visitatore completamente anonimo di diventare qualsiasi altro cliente con un'unica richiesta creata ad arte, motivo per cui Sansec ha scelto perciò di pubblicare già una firma di rilevamento lo stesso giorno invece di attendere una conferma più ampia.

Cosa dovrebbero controllare subito i rivenditori

Qualsiasi negozio che usa già Adobe Commerce, Commerce B2B o Magento Open Source dovrebbe confermare che la patch di sicurezza di agosto 2026 sia davvero installata, non solo pianificata, dato che i dati di Sansec mostrano tentativi reali di sfruttamento già in corso e non teorici. Poiché la falla riguarda la gestione delle sessioni e non un modulo isolato, vale la pena aggiungere sopra la patch una regola del firewall applicativo che blocchi specificamente lo schema di sfruttamento noto mentre si verifica il rollout su ogni istanza del negozio, comprese quelle di staging e i siti regionali secondari che si dimenticano facilmente durante un ciclo di patch.

Per i rivenditori europei e britannici in particolare, una falla di presa di controllo dell'account di questo tipo è anche una questione di notifica sulla protezione dei dati: se la cronologia ordini, gli indirizzi o i metadati di pagamento dei clienti sono stati accessibili anche solo brevemente a un attaccante non autenticato, è esattamente il tipo di esposizione che un responsabile della protezione dei dati deve valutare rispetto alle soglie di notifica delle violazioni, indipendentemente dal fatto che la telemetria di Sansec mostri che il proprio negozio specifico sia stato colpito.

Da leggere ora: La moratoria NIS2 tedesca è finita  |  361 Server vCenter Colpiti Prima della Lista KEV