DocumentazioneCommerceKnowledge base di Commerce

Azione urgente richiesta: aggiornamento critico della sicurezza disponibile per Adobe Commerce (APSB26-146)

Ultimo aggiornamento: 21 settembre 2026
IMPORTANT
Questo è un aggiornamento urgente relativo a CVE-2026-75650. Adobe è consapevole del fatto che CVE-2026-75650 è stato sfruttato nel selvaggio targeting dei commercianti Adobe Commerce.

Il 7 settembre, Adobe ha rilasciato un aggiornamento critico sulla sicurezza che interessava Adobe Commerce e Magento Open Source. Adobe è venuto a conoscenza di una vulnerabilità a zero giorni in Adobe Commerce e ha rilasciato un aggiornamento sulla sicurezza (APSB26-146) per risolverla. La vulnerabilità potrebbe consentire a un utente non autenticato di eseguire codice arbitrario in un’installazione interessata (CVE-2026-75650).

Adobe ha rilasciato il bollettino sulla sicurezza APSB26-146, che affronta questa vulnerabilità. Il bollettino è disponibile al seguente indirizzo:

Aggiornamento di sicurezza disponibile per Adobe Commerce | APSB26-146

Questo articolo spiega come applicare l’hotfix per le versioni attuali e precedenti di Adobe Commerce e Magento Open Source.

Descrizione

Prodotti e versioni interessati:

Versioni di Adobe Commerce:

  • 2.4.9-2026-ago e versioni precedenti
  • 2.4.8-2026-ago e versioni precedenti
  • 2.4.7-2026-ago e versioni precedenti
  • 2.4.6-2026-ago e versioni precedenti
  • 2.4.5-2026-ago e versioni precedenti
  • 2.4.4-2026-ago e versioni precedenti

Versioni B2B di Adobe Commerce:

  • 1.5.3-2026-ago e versioni precedenti
  • 1.5.2-2026-ago e versioni precedenti
  • 1.4.2-2026-ago e versioni precedenti
  • 1.3.4-2026-ago e versioni precedenti
  • 1.3.3-2026-ago e versioni precedenti

Versioni di Magento Open Source:

  • 2.4.9-2026-ago e versioni precedenti
  • 2.4.8-2026-ago e versioni precedenti
  • 2.4.7-2026-ago e versioni precedenti
  • 2.4.6-2026-ago e versioni precedenti

Risoluzione

Soluzione per Adobe Commerce su cloud, Adobe Commerce on-premise e Magento Open Source

NOTE
L’hotfix per CVE-2026-75650 è ora compatibile con tutte le versioni di Adobe Commerce e Magento Open Source tra la 2.4.4 e la 2.4.7. Fare riferimento alla tabella seguente e scaricare la patch applicabile alla propria versione.

Per risolvere la vulnerabilità dei prodotti e delle versioni interessati, è necessario applicare la patch sottostante (a seconda della versione) e ruotare le chiavi di crittografia.

Numero versione
Patch
2,4.9-2026-ago, 2,4.8-2026-ago, 2,4.7-2026-ago, 2,4.6-2026-ago, 2,4.5-2026-ago, 2,4.4-2026-ago, 2,4.9-2026-lug, 2,4.8-2026-lug, 2,4.7-2026-lug, 2,4.6-2026-lug, 2,4.5-2026-lug, 2,4.4-2026-lug, 2,4,8-p5, 2,4,8-p4, 2,4,7-p10, 2,4,7-p9, 2,4,6-p15, 2,4,6-p14, 2.4.5-p17, 2.4.5-p16, 2.4.4-p18, 2.4.4-p17
Hotfix VULN-39341-compositore-patches.zip
2,4,8-p3, 2,4,8-p2
VULN-39341_248-p3.patch.zip
2.4.8-p1, 2.4.8
VULN-39341_248-p1.patch.zip
2,4,7-p8, 2,4,7-p7
VULN-39341_247-p8.patch.zip
2,4,7 - 2,4,7-p6
VULN-39341_247-p5.patch.zip
2.4.6-p13, 2.4.6-p12, 2.4.5-p15, 2.4.5-p14, 2.4.4-p16, 2.4.4-p15
VULN-39341_246-p13.patch.zip
2.4.6 - 2.4.6-p11, 2.4.5 - 2.4.5-p13, 2.4.4 - 2.4.4-p14
VULN-39341_246-p11.patch.zip

Come applicare l’hotfix

Decomprimi il file e vedi Come applicare una patch del compositore fornita da Adobe nella Knowledge Base di supporto per le istruzioni.

Conferma l’applicazione dell’hotfix (solo per Adobe Commerce su Cloud Merchants)

Poiché non è possibile determinare facilmente se il problema è stato corretto, si consiglia di verificare se l’hotfix CVE-2026-75650 è stato applicato correttamente.

Per eseguire questa operazione, eseguire la procedura seguente, utilizzando il file VULN-39341_Hotfix_COMPOSER.patch come esempio:

  1. Installare lo strumento Patch di qualità.
  2. Eseguire il comando: vendor/bin/magento-patches -n status | grep "39341\|Status".
  3. Dovresti visualizzare un output simile a questo, dove questo esempio VULN-39341 restituisce lo stato Applicato:
ID
Titolo
Categoria
Origine
Stato
Dettaglio
N/D
…/m2-hotfixes/VULN-39341_Hotfix_COMPOSER.patch
Altro
Locale
Applicato
Tipo di patch: Personalizzato

Ruota le credenziali dopo l’applicazione della patch

Per risolvere completamente il problema, ruotare non solo la chiave di crittografia, ma anche tutte le credenziali che potrebbero essere state crittografate o esposte utilizzando tale chiave, incluse le credenziali di server, API e integrazione.

NOTE
La chiave di crittografia viene utilizzata per crittografare token di integrazione, credenziali del gateway di pagamento e token di automazione con privilegi di sistema. La sola rotazione della chiave di crittografia non invalida le credenziali che potrebbero essere già state esposte. Ruota tutte le credenziali associate alla loro origine (ad esempio, presso il gateway dei pagamenti o il servizio di terze parti), non solo in Commerce.

Per ruotare le credenziali, eseguire la procedura seguente:

  1. Applica l’hotfix.
  2. Abilita la modalità di manutenzione.
  3. Disabilita esecuzione cron (comando Commerce su Cloud: vendor/bin/ece-tools cron:disable).
  4. Ruota le chiavi di crittografia.
  5. Ruota tutte le password utente del pannello di amministrazione.
  6. Disattivare e rigenerare tutti i token di integrazione REST/SOAP/GraphQL (System > Extensions > Integrations).
  7. Ruota i segreti del client OAuth per tutte le applicazioni di terze parti collegate.
  8. Ruota le credenziali API del gateway pagamenti a livello di provider (Stripe, Braintree, Adyen, PayPal, ecc.).
  9. Ruota database e credenziali Fastly (tramite ticket di supporto).
  10. Ruota le chiavi SSH/deploy ed eventuali credenziali dell’account cron o di servizio con privilegi di sistema.
  11. Ruota le chiavi API per la spedizione, le imposte e altre estensioni integrate di terze parti.
  12. Svuota la cache.
  13. Abilita esecuzione cron (comando Commerce su Cloud: vendor/bin/ece-tools cron:enable).
  14. Disattiva la modalità di manutenzione.
  15. Solo Commerce su Cloud: ridistribuisci per applicare le nuove credenziali del database.

Aggiornamenti di sicurezza

Aggiornamenti di sicurezza disponibili per Adobe Commerce:

Lettura correlata

Attivare o disattivare la modalità di manutenzione nella Guida all’installazione di Adobe Commerce

recommendation-more-help
commerce-knowledge-base-help