Per favore, aggiungi TurboLab.it alle eccezioni del tuo Ad Blocker. Siamo un progetto no-profit, e la pubblicità è indispensabile per pagare le spese.
In alternativa, puoi sostenerci con una donazione.
Rispetteremo ogni tua scelta, e potrai sempre utilizzare il sito senza limitazioni.
Un 10 su 10 nella scala CVSS non si vede tutti i giorni: serve che ogni parametro di valutazione sia al caso peggiore, tutti nello stesso momento. Ma è proprio questo il punteggio assegnato alla vulnerabilità CVE-2026-103849, battezzata BlockStrap, che consente l'esecuzione di codice arbitrario da remoto su Adobe Commerce e Magento Open Source, senza alcuna autenticazione. La correzione è arrivata il 13 ottobre 2026 con il bollettino di sicurezza APSB26-153, ma è indubbio che siano pochi i siti di ecommerce abbastanza strutturati da averla già installata, soprattutto fra la PMI italiana. Fortunatamente, al momento non sono stati ancora registrati attacchi reali. La piattaforma, però, ha un passato che sconsiglia di rimandare l'aggiornamento.
Adobe classifica la falla come CWE-1336, cioè una neutralizzazione impropria degli elementi speciali passati a un motore di template. In poche parole: l'attacco passa dalla rete, ha bassa complessità, non richiede privilegi né alcuna azione da parte della vittima. Inoltre i suoi effetti possono estendersi oltre il componente vulnerabile, con impatto elevato su riservatezza, integrità e disponibilità.
Secondo la descrizione di Adobe, lo sfruttamento può portare all'esecuzione di codice arbitrario «nel contesto dell'utente corrente». L'aggressore potrebbe così ottenere un accesso privilegiato o il controllo dell'account o della sessione della vittima.
I dettagli tecnici, invece, restano riservati. Adobe non ha spiegato il funzionamento della falla, né ha chiarito se sia collegata a CVE-2026-75650, che appartiene alla stessa classe CWE-1336. La scoperta è attribuita a una segnalazione esterna, non all'osservazione di attacchi in corso. L'aggiornamento ha priorità 2 e Adobe dichiara di non essere a conoscenza di exploit in circolazione.
La falla da 10,0 non viaggia da sola. Lo stesso bollettino corregge CVE-2026-92909, un problema di autorizzazione errata (CWE-863) con punteggio 9,8, anch'esso sfruttabile senza autenticazione. Adobe la indica però come specifica del modulo B2B. Per i negozi che non lo usano, dunque, l'esposizione principale resta CVE-2026-103849.
Completano il quadro due vulnerabilità di tipo stored XSS valutate 9,3, un bug di esecuzione di codice a livello amministrativo (CVE-2026-92464) e alcuni aggiramenti dei controlli di autorizzazione nel modulo B2B.
C'è un dettaglio operativo che può trarre in inganno. Adobe ora distribuisce release di patch datate. Il solo numero di versione, quindi, non dice nulla sullo stato di aggiornamento: 2.4.7-2026-sep è vulnerabile, 2.4.7-2026-oct no. Un inventario che registra soltanto "2.4.7" non permette di stabilire se il negozio sia esposto.
Sono vulnerabili le build -2026-sep e precedenti di queste linee:
Un negozio online compromesso non è un semplice defacement. Significa consegnare all'aggressore la pagina di pagamento, il database dei clienti e l'intero flusso di checkout. I gruppi specializzati nel furto di carte di credito, i cosiddetti skimmer, conducono da anni campagne su larga scala contro questa piattaforma.
Per chi gestisce un negozio su Adobe Commerce o Magento, l'aggiornamento alla build di ottobre va pianificato in questi giorni, non alla prossima finestra di manutenzione.
Fonti: sansec.io, hol.org, adobe.com, cycognito.com
Nessuno ha ancora commentato.
