Adobe publicó el boletín APSB26-153 para Adobe Commerce, Commerce B2B y Magento Open Source. Entre las fallas corregidas destaca CVE-2026-103849, que permite la ejecución de código arbitrario sin autenticación y recibió una puntuación CVSS de 10.0. El aviso apareció el 13 de octubre y las actualizaciones de seguridad ya están disponibles para las ramas afectadas.
El problema se relaciona con el procesamiento de elementos especiales en un motor de plantillas. En el mismo boletín figura otra vulnerabilidad de ejecución de código sin iniciar sesión, CVE-2026-92909, asociada con Commerce B2B y calificada con 9.8. También se corrigen problemas de escalada de privilegios, escritura de archivos y evasión de funciones de seguridad. No todos tienen el mismo impacto ni afectan a todas las instalaciones de idéntica manera.
Adobe enumera las versiones afectadas y ofrece revisiones de octubre para varias ramas: Commerce 2.4.4 a 2.4.9, Commerce B2B 1.3.3 a 1.5.3 y Magento Open Source 2.4.6 a 2.4.9, según corresponda. Los administradores deben cotejar la versión exacta de su instalación con la tabla oficial antes de aplicar el paquete pertinente. El boletín recuerda además que el parche para CVE-2026-75650, publicado en septiembre, debe instalarse junto a estas actualizaciones cuando aplique.
Adobe declara que, al publicar el aviso, no tenía conocimiento de explotación activa de las fallas corregidas. Esa afirmación no reduce la necesidad de actualizar los sitios expuestos, pero tampoco permite presentar esta CVE como un ataque confirmado contra tiendas específicas.
.png)
0 Comentarios