Октомврийският ъпдейт за сигурност на Magento: какво включва APSB26-153

На 13 октомври 2026 г. Adobe публикува редовния си месечен бюлетин за сигурност на Magento и Adobe Commerce — APSB26-153. Той затваря 11 уязвимости: 5 критични, 5 с висока и 1 със средна степен на опасност. Добрата новина е, че по думите на Adobe засега няма известни атаки, които да ги използват. Лошата е, че най-опасната от тях получава максималната оценка 10 от 10.

Най-важното накратко

• CVE-2026-103849 — 10 от 10. Пробив в механизма, с който Magento сглобява шаблони. Нападателят не се нуждае от профил или парола, а резултатът е изпълнение на собствен код на сървъра — тоест пълен контрол над магазина.
• Две уязвимости от типа „stored XSS“ — 9.3 от 10, също без вход. Нападателят оставя в магазина скрит код, който по-късно се изпълнява в браузъра на служител или администратор и може да му отнеме правата.
• Уязвимости, изискващи достъп до администрацията (до 9.1 от 10): изпълнение на код, запис на произволни файлове и още XSS. Те са по-трудни за използване, но превръщат един изтекъл администраторски профил в пълен пробив.
• Три уязвимости засягат само Adobe Commerce B2B, едната от които с оценка 9.8 и без нужда от вход.

Кои версии са засегнати

Засегнати са всички поддържани версии — Magento Open Source от 2.4.6 до 2.4.9 и Adobe Commerce от 2.4.4 до 2.4.9, включително септемврийските им издания. Поправката идва като нови версии с окончание -2026-oct:

• Magento Open Source: 2.4.9-2026-oct, 2.4.8-2026-oct и 2.4.7-2026-oct.
• Adobe Commerce: от 2.4.4-2026-oct до 2.4.9-2026-oct.

Обърнете внимание: за Magento Open Source 2.4.6 бюлетинът не посочва поправена версия, въпреки че я изброява сред засегнатите. Магазин на 2.4.6 или по-стара версия трябва да бъде обновен до поддържана версия.

Mage-OS, общностната версия на Magento, разпространява поправките в собствени издания. Към момента на писане такова с октомврийските поправки все още няма — последната версия е 3.5.0.

Не забравяйте септемврийската кръпка

Adobe изрично напомня, че октомврийското обновление не замества спешната кръпка от септември срещу StyleSmuggler (CVE-2026-75650) — пробива, който беше активно атакуван дни преди да има официална поправка. Ако тя още не е приложена, тя е първата задача, а октомврийската идва веднага след нея.

Какво препоръчваме

1. Обновете до версията -2026-oct за вашата линия (или до поддържана версия, ако сте на 2.4.6 и по-стари).
2. Проверете, че септемврийската кръпка за StyleSmuggler е на място — и след обновлението, не само преди него.
3. Не чакайте първите атаки. Липсата на известни атаки днес не значи много: при StyleSmuggler времето между публикуването и масовите атаки се измерваше в часове.