Adobe ha lanzado una actualización de seguridad urgente para Adobe Commerce y Magento Open Source con el fin de corregir diversas vulnerabilidades. Estos fallos podrían permitir a los atacantes evadir controles de seguridad, obtener privilegios elevados y ejecutar código arbitrario. El problema más grave es la vulnerabilidad CVE-2026-71362, relacionada con una autorización incorrecta, la cual ha sido calificada con una puntuación de 9.1 sobre 10 según el sistema CVSS.

Adobe ha lanzado una actualización de seguridad urgente para Adobe Commerce y Magento Open Source, corrigiendo varias vulnerabilidades que podrían permitir que los atacantes eviten los controles de seguridad, obtengan privilegios más altos y ejecuten código arbitrario.

El problema más grave es el CVE-2026-71362, una vulnerabilidad de autorización incorrecta calificada con un 9.1 sobre 10 según el sistema de puntuación CVSS. El fallo podría permitir que un atacante remoto no autenticado escale privilegios sin requerir acceso de administrador.

Adobe clasificó la vulnerabilidad como crítica porque podría exponer datos sensibles y permitir que los atacantes realicen cambios no autorizados dentro de los entornos de comercio afectados.

Vulnerabilidades de Adobe Commerce

Adobe también solucionó dos vulnerabilidades críticas de cross-site scripting (XSS) almacenado, CVE-2026-48414 y CVE-2026-48413. Ambos fallos pueden resultar en la ejecución de código arbitrario si se explotan con éxito.

Las vulnerabilidades de XSS almacenado ocurren cuando una aplicación guarda contenido de scripts maliciosos y luego lo entrega a otros usuarios a través de páginas legítimas, formularios, información de productos, registros de clientes o interfaces administrativas.

El CVE-2026-48414 tiene una puntuación CVSS de 7.7 y requiere autenticación, privilegios de administrador, interacción del usuario y una alta complejidad de ataque. El CVE-2026-48413 es más accesible, con una puntuación CVSS de 8.7.

Este último requiere una cuenta autenticada con bajos privilegios e interacción del usuario, pero no requiere privilegios de administrador. La actualización, identificada como APSB26-92, fue publicada el 11 de agosto de 2026, con un nivel de prioridad 2.

En un ataque real, un actor de amenazas podría intentar usar una cuenta comprometida de un cliente, empleado o socio para inyectar contenido malicioso en una plataforma de comercio.

Otra vulnerabilidad crítica, CVE-2026-48415, afecta a los despliegues de Adobe Commerce B2B. El fallo de autorización incorrecta podría permitir que un atacante autenticado sin privilegios de administrador evite las funciones de seguridad.

Adobe le asignó una puntuación CVSS de 7.6. El CVE-2026-48416 también es un problema de autorización, calificado con 7.5, que puede permitir que un atacante no autenticado evite los controles de seguridad.

La actualización corrige adicionalmente el CVE-2026-48411, un fallo de autorización importante con una puntuación CVSS de 6.8, y el CVE-2026-48412, un problema moderado de escalada de privilegios calificado con 2.7.

Aunque estas vulnerabilidades tienen calificaciones de severidad más bajas, debes tratar la actualización como un paquete de seguridad completo en lugar de solucionar selectivamente solo los errores críticos.

Los productos afectados incluyen las versiones de Adobe Commerce 2.4.4 a 2.4.9 con la actualización de seguridad de julio de 2026 o anterior, las versiones de Magento Open Source 2.4.6 a 2.4.9 y múltiples lanzamientos de Adobe Commerce B2B. Adobe recomienda que actualices a las versiones de agosto de 2026 lo antes posible.

Adobe afirmó que no tiene conocimiento de una explotación activa de estas vulnerabilidades en el mundo real. Sin embargo, los avisos públicos de seguridad pueden aumentar el interés de los atacantes, especialmente donde las tiendas orientadas a Internet permanecen sin parchear.

Como administrador, debes aplicar la actualización correspondiente de agosto de 2026, revisar las cuentas privilegiadas, monitorear los registros de la aplicación en busca de actividad inusual y validar que las reglas del firewall de aplicaciones web y los controles de acceso funcionen correctamente.

Fuentes:
https://cybersecuritynews.com/adobe-commerce-vulnerabilities/