Magento e Adobe Commerce sono in pericolo: le patch di maggio 2026 risolvono 15 vulnerabilità di sicurezza (APSB26-49)

Quindici falle di sicurezza in una piattaforma che gestisce transazioni economiche reali, dati di pagamento e informazioni personali di milioni di clienti non è il genere di notizia che un amministratore di sistema può mettere in coda e affrontare con calma la settimana prossima. Adobe ha infatti pubblicato il bollettino di sicurezza APSB26-49 per Adobe Commerce e Magento Open Source, e il messaggio implicito è chiaro: aggiornate subito.

Dieci vulnerabilità gravi su quindici totali

L'aggiornamento corregge dieci difetti ad alta gravità e cinque a gravità media. Le tipologie sono quelle che tolgono il sonno a chi gestisce un negozio online: bypass delle funzioni di sicurezza, denial-of-service e - la categoria più insidiosa - esecuzione arbitraria di codice.

C'è poi un dettaglio che pesa: Adobe ha assegnato alle patch un livello di priorità "2" (su 3 totali).

Al momento della pubblicazione del bollettino, Adobe dichiara di non essere a conoscenza di sfruttamento attivo di queste vulnerabilità. Il livello di priorità assegnato, però, suggerisce che l'azienda consideri lo sfruttamento una possibilità concreta, non un'ipotesi remota.

Le versioni coinvolte e le patch disponibili

Le correzioni coprono tre rami dei prodotti.

Per Magento Open Source:

• Magento 2.4.9-beta1 -> aggiornamento alla 2.4.9
• Magento 2.4.8-p4 (o precedenti) -> aggiornamento alla 2.4.8-p5
• Magento 2.4.7-p9 (o precedenti) -> aggiornamento alla 2.4.7-p10
• Magento 2.4.6-p14 (o precedenti) -> aggiornamento alla 2.4.6-p15

Per Adobe Commerce:

• Adobe Commerce 2.4.8 → aggiornamento alla 2.4.8-p5
• Adobe Commerce 2.4.6 → aggiornamento alla 2.4.6-p15
• Adobe Commerce 2.4.5 → aggiornamento alla 2.4.5-p17

Chi tiene il conto noterà che il ciclo precedente (bollettino APSB26-05) aveva portato rispettivamente alle release 2.4.8-p4, 2.4.6-p14 e 2.4.5-p16. La cadenza di aggiornamenti di sicurezza per Commerce è serrata - il che dice qualcosa sia sull'attenzione di Adobe sia sulla superficie d'attacco intrinseca di una piattaforma e-commerce complessa.

Fonti: helpx.adobe.com, experienceleague.adobe.com, securityweek.com