Adobe lanza un parche de emergencia para un zero-day crítico en Commerce y Magento
Índice de contenidos
Claves de la noticia
- Adobe asigna una puntuación CVSS de 10,0 a CVE-2026-75650, que permite ejecutar código sin autenticación en Commerce y Magento Open Source.
- El fabricante confirma que la vulnerabilidad está siendo explotada y ofrece un hotfix específico.
- CISA la incorporó a su catálogo KEV y fijó el 11 de septiembre como fecha límite para las agencias federales civiles de Estados Unidos.
Adobe ha publicado el boletín APSB26-146 para corregir un zero-day crítico en sus plataformas de comercio electrónico. La alerta confirma explotación real, pero no atribuye públicamente los ataques a Magecart ni describe robo de tarjetas, archivos modificados o una carga técnica concreta.
APSB26-146 corrige un fallo del motor de plantillas
El aviso se publicó el 7 de septiembre con prioridad 1, la categoría que Adobe reserva a actualizaciones que deben desplegarse con rapidez. CVE-2026-75650 afecta a Adobe Commerce, Adobe Commerce B2B y Magento Open Source en las versiones enumeradas por el fabricante.
Adobe clasifica el problema como una neutralización incorrecta de elementos especiales dentro de un motor de plantillas, identificada como CWE-1336. La explotación puede provocar ejecución arbitraria de código, no requiere credenciales y recibe una puntuación CVSS 3.1 de 10,0. El vector publicado indica ataque por red, complejidad baja, ausencia de interacción del usuario e impacto alto en confidencialidad, integridad y disponibilidad.
Esta descripción sustituye a la atribución a una deserialización dentro de pasarelas de pago. El boletín no identifica ese subsistema ni explica la solicitud exacta utilizada para atacar una tienda, de manera que no debe añadirse un mecanismo más específico del que Adobe ha confirmado.
Explotación confirmada, técnicas todavía no publicadas
Adobe afirma expresamente que conoce casos de explotación de CVE-2026-75650 en internet. CISA añadió el fallo a su catálogo de vulnerabilidades conocidas y explotadas el 8 de septiembre y requiere a las agencias federales civiles estadounidenses adoptar las medidas indicadas antes del 11 de septiembre.
La inclusión en KEV confirma uso real de la vulnerabilidad, pero no demuestra por sí sola que las campañas estén instalando skimmers en formularios de pago, capturando códigos CVV o modificando el directorio pub/static. El catálogo de CISA señala que el uso en campañas de ransomware es desconocido y solicita triaje forense.
La distinción es relevante para los administradores: deben tratar el fallo como una emergencia sin convertir hipótesis plausibles en indicadores de compromiso. Cuando Adobe, CISA o un equipo de respuesta publique rutas, archivos, dominios o patrones de registro concretos, esos datos sí podrán utilizarse para una búsqueda dirigida.
El hotfix es la medida publicada por Adobe
El fabricante recomienda instalar el hotfix específico para CVE-2026-75650. La lista de software afectado incluye ramas de Adobe Commerce hasta 2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug y versiones anteriores detalladas en el boletín; en Magento Open Source alcanza las ramas indicadas hasta 2.4.9-2026-aug.
El aviso no propone como solución principal compilar una versión 2.4.9 ni publica una regla genérica para bloquear determinados encabezados POST en Nginx o Apache. Un cortafuegos de aplicaciones puede formar parte de una defensa temporal, pero no sustituye una corrección proporcionada por el fabricante.
Antes de aplicar el hotfix conviene comprobar la rama exacta, verificar requisitos y dependencias, realizar una copia de seguridad y probar el cambio siguiendo el procedimiento de despliegue de la tienda. Después deben confirmarse la versión o el parche instalado y el funcionamiento de pedidos, pagos y extensiones.
La respuesta no termina al instalar el parche
Como la vulnerabilidad ya ha sido explotada, una instalación que permaneciera accesible sin corregir necesita algo más que actualizarse. El equipo responsable debería conservar registros, revisar cuentas administrativas, comprobar modificaciones inesperadas y analizar cualquier alerta registrada durante la ventana de exposición.
Las fuentes oficiales consultadas no cuantifican cuántas tiendas siguen vulnerables. La superficie real dependerá de las versiones instaladas, de la exposición y de la rapidez con la que los operadores apliquen el hotfix. Publicar una cifra de alcance sin método reproducible puede distorsionar la prioridad de la amenaza.
Cuándo entra en juego el RGPD en España
La mera existencia de una vulnerabilidad no activa automáticamente una notificación de brecha. La obligación surge si se produce un incidente que destruya, altere, pierda o permita acceso no autorizado a datos personales y es probable que implique un riesgo para las personas afectadas.
La Agencia Española de Protección de Datos establece que, cuando corresponde notificar, el plazo es de 72 horas desde que la organización tiene constancia de la brecha. Si el riesgo es alto, también puede ser necesario informar a las personas afectadas. La decisión exige analizar evidencias y alcance; no se puede afirmar que todo sitio sin parche haya perdido automáticamente su certificación PCI DSS o la cobertura de su seguro.
Para una tienda española, la secuencia razonable es aplicar el hotfix, preservar evidencias, determinar si hubo compromiso y activar los procedimientos legales y contractuales que correspondan al resultado. Esa respuesta basada en hechos es más útil que atribuir a los atacantes una campaña de robo de tarjetas todavía no documentada en los avisos enlazados.
