Adobe ha rilasciato un nuovo bollettino di sicurezza (APSB26-05) per Adobe Commerce e Magento Open Source, pubblicato il 10 marzo 2026 e classificato con priorità 2.
L’aggiornamento risolve vulnerabilità di gravità critica, importante e moderata che, se sfruttate, possono portare a escalation di privilegi, esecuzione di codice arbitrario, bypass dei controlli di sicurezza, denial‑of‑service applicativo e lettura non autorizzata del file system.

Prodotti e versioni interessate

Secondo Adobe, sono coinvolte le seguenti linee di prodotto e release:

• Adobe Commerce
  • 2.4.9‑alpha3 e precedenti
  • 2.4.8‑p3 e precedenti
  • 2.4.7‑p8 e precedenti
  • 2.4.6‑p13 e precedenti
  • 2.4.5‑p15 e precedenti
  • 2.4.4‑p16 e precedenti
• Adobe Commerce B2B
  • 1.5.3‑alpha3 e precedenti
  • 1.5.2‑p3 e precedenti
  • 1.4.2‑p8 e precedenti
  • 1.3.5‑p13 e precedenti
  • 1.3.4‑p15 e precedenti
  • 1.3.3‑p16 e precedenti
• Magento Open Source
  • 2.4.9‑alpha3
  • 2.4.8‑p3 e precedenti
  • 2.4.7‑p8 e precedenti
  • 2.4.6‑p13 e precedenti
  • 2.4.5‑p15 e precedenti

Se il tuo store rientra in uno di questi rami di versione, è necessario pianificare un aggiornamento quanto prima.

---

Tipologie di vulnerabilità corrette

L’aggiornamento APSB26-05 include fix per diverse classi di vulnerabilità di sicurezza:

• Cross‑Site Scripting (Stored XSS – CWE‑79)
  Può consentire a un attaccante di eseguire codice lato browser dell’utente o di ottenere escalation di privilegi all’interno del backend.
• Incorrect Authorization (CWE‑863)
  Errori nella gestione delle autorizzazioni possono permettere il bypass delle funzionalità di sicurezza o l’accesso a funzioni riservate, fino all’escalation di privilegi.
• Server‑Side Request Forgery – SSRF (CWE‑918)
  Può essere utilizzato per effettuare richieste dal server verso risorse interne o esterne non previste, aggirando controlli di sicurezza.
• Path Traversal (CWE‑22)
  In alcuni scenari può consentire lettura di file non autorizzati sul file system del server, con impatto sulla riservatezza dei dati.
• Improper Input Validation (CWE‑20) e Open Redirect (CWE‑601)
  Possono portare a bypass di controlli, reindirizzamenti verso siti malevoli o condizioni che facilitano ulteriori attacchi.

Nel bollettino sono elencati numerosi CVE, tra cui CVE‑2026‑21361, CVE‑2026‑21284, CVE‑2026‑21289, CVE‑2026‑21309 e molti altri, con punteggi CVSS fino a 8.7 per le vulnerabilità più critiche.

Rischi concreti per gli store Magento

Se non corretti, questi problemi possono tradursi in impatti molto concreti per un e‑commerce:

• Compromissione degli account amministrativi tramite XSS e escalation di privilegi, con possibilità di modificare configurazioni, pagine e metodi di pagamento.
• Esecuzione di codice o script non autorizzati sul lato server o client, con conseguente compromissione dei dati o installazione di malware.
• Esfiltrazione di dati sensibili (configurazioni, file, log) tramite path traversal o SSRF verso servizi interni.
• Bypass di controlli di sicurezza e di autorizzazione, che può permettere a utenti non autorizzati di accedere a funzionalità amministrative o dati non pubblici.

Anche se Adobe dichiara di non essere al momento a conoscenza di exploit “in the wild” per queste vulnerabilità, la pubblicazione del bollettino rende molto più semplice per gli attaccanti sviluppare exploit mirati.

---

Versioni aggiornate da installare

Adobe raccomanda di aggiornare alle seguenti release, a seconda del ramo in uso:

• Adobe Commerce
  • 2.4.9‑beta1 (per chi si trova su 2.4.9‑alpha3)
  • 2.4.8‑p4 (per 2.4.8‑p3 e precedenti)
  • 2.4.7‑p9 (per 2.4.7‑p8 e precedenti)
  • 2.4.6‑p14 (per 2.4.6‑p13 e precedenti)
  • 2.4.5‑p16 (per 2.4.5‑p15 e precedenti)
  • 2.4.4‑p17 (per 2.4.4‑p16 e precedenti)
• Adobe Commerce B2B
  • 1.5.3‑beta1 (per 1.5.3‑alpha3)
  • 1.5.2‑p4 (per 1.5.2‑p3 e precedenti)
  • 1.4.2‑p9 (per 1.4.2‑p8 e precedenti)
  • 1.3.5‑p14 (per 1.3.5‑p13 e precedenti)
  • 1.3.4‑p16 (per 1.3.4‑p15 e precedenti)
  • 1.3.3‑p17 (per 1.3.3‑p16 e precedenti)
• Magento Open Source
  • 2.4.9‑beta1 (per 2.4.9‑alpha3)
  • 2.4.8‑p4 (per 2.4.8‑p3 e precedenti)
  • 2.4.7‑p9 (per 2.4.7‑p8 e precedenti)
  • 2.4.6‑p14 (per 2.4.6‑p13 e precedenti)
  • 2.4.5‑p16 (per 2.4.5‑p15 e precedenti)

Tutti gli aggiornamenti sono classificati con priorità 2, il che indica un rischio significativo e la raccomandazione di aggiornare entro un orizzonte temporale ragionevolmente breve, soprattutto per gli ambienti di produzione esposti a internet.

---

Questo nuovo bollettino Adobe APSB26-05 conferma quanto il panorama di minacce su piattaforme e‑commerce complesse come Adobe Commerce e Magento Open Source resti molto dinamico.
Aggiornare tempestivamente alle versioni raccomandate è fondamentale per ridurre il rischio di compromissioni e tutelare sia i dati dei clienti sia il business online.