Adobe Commerce e Magento CVE-2026-75650: StyleSmuggler, RCE con CVSS 10 senza interazione
Il payload non richiede che nessuno apra nulla: si esegue da solo quando l'applicazione genera un promemoria di pagamento fallito. La CVE-2026-75650, ribattezzata StyleSmuggler dai ricercatori di Sansec che l'hanno individuata, interessa Adobe Commerce, Adobe Commerce B2B e Magento Open Source con punteggio CVSS pari a 10.0 ed è una improper neutralization of special elements used in a template engine (CWE-1336). Il difetto sta nella validazione degli elementi speciali usati dal motore dei template: abusando della gestione delle proprietà di stile, un attaccante non autenticato inietta codice PHP che il runtime applicativo elabora nel contesto di rendering, eseguendolo con i privilegi del processo web.
Anche qui la patch insegue l'attacco. I primi attacchi confermati risalgono al 4 settembre 2026, mentre Adobe ha rilasciato l'hotfix d'emergenza il 7 settembre; ACN ha emesso l'alert AL01/260908 l'8 settembre e la CVE è stata inserita nel catalogo KEV della CISA entro l'11. Nelle intrusioni osservate lo sfruttamento non si è fermato all'esecuzione di un comando: gli attaccanti hanno installato una backdoor persistente sul server, il che sposta il problema dalla patch alla bonifica. Chi era vulnerabile in quella finestra deve considerare l'installazione potenzialmente compromessa a prescindere dall'aggiornamento.
La categoria dei dati in gioco rende la falla più pesante del suo punteggio. Una piattaforma di commercio elettronico compromessa espone anagrafiche clienti, storico degli ordini e dati di pagamento, e la tecnica classica su Magento è l'inserimento di skimmer lato client che catturano i numeri di carta al momento del checkout: il danno si materializza sui clienti finali e arriva al Garante prima che al reparto IT. A doversene preoccupare è chiunque gestisca un negozio Magento o Adobe Commerce, anche di dimensioni modeste, categoria in cui rientrano molte partecipate e società di servizi con vendita diretta online; la diffusione di Magento tra i piccoli esercenti italiani, spesso con installazioni affidate a web agency e poi non manutenute, rende il bacino più ampio di quanto suggerisca il nome del prodotto.
- Versioni affette: Adobe Commerce 2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug, 2.4.6-2026-aug, 2.4.5-2026-aug e 2.4.4-2026-aug e precedenti; Adobe Commerce B2B 1.5.3-2026-aug, 1.5.2-2026-aug, 1.4.2-2026-aug, 1.3.4-2026-aug e 1.3.3-2026-aug e precedenti; Magento Open Source 2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug e 2.4.6-2026-aug e precedenti.
- Azione raccomandata: applicare l'hotfix Adobe del 7 settembre con priorità immediata; poiché lo sfruttamento ha preceduto la correzione, oltre alla patch cercare backdoor e file PHP non previsti nelle directory dell'applicazione, verificare l'integrità dei template e delle utenze amministrative e controllare le pagine di checkout per codice di skimming; ruotare le credenziali amministrative e le chiavi di integrazione; valutare gli obblighi di notifica se emergono evidenze di accesso ai dati dei clienti.
Fonti: ACN, Sansec, CCB Belgio, SecurityOnline