Esta es una explicación rápida de una vulnerabilidad que se está explotando activamente (incluida en el catálogo KEV de CISA). Describe qué ocurre, quién está afectado y cómo responder, desde el punto de vista del defensor, sin pasos para reproducirla.
- CVE
- CVE-2026-71362
- Gravedad
- Crítica (CVSS 9.1 / v3.1)
- Tipo
- Autorización incorrecta (CWE-863)
- Impacto
- Escalada de privilegios — según las palabras de Adobe, «acceso elevado a recursos sensibles»
- Requisitos previos
- Sin autenticación, sin privilegios de administrador, sin interacción del usuario
- Afectadas
- Adobe Commerce (2.4.4–2.4.9), Adobe Commerce B2B y Magento Open Source (2.4.6–2.4.9), cada línea en «2026-jul» y anteriores
- Solución
- La versión «2026-aug» de la misma línea (publicada el 11 de agosto de 2026, boletín APSB26-92)
- Explotación
- En KEV de CISA (añadida el 24 de septiembre de 2026, plazo de corrección hasta el 27 de septiembre), marcada como que requiere análisis forense
¿Qué tan peligroso es esperar?
Sin autenticación y sin interacción del usuario, cualquier tienda accesible desde internet es alcanzable. La estimación de EPSS de aproximadamente 90 % lo sitúa entre el 0,3 % de CVE con mayor probabilidad de explotación. Los comercios electrónicos almacenan datos de clientes y gestionan pagos, lo que desde hace tiempo los convierte en objetivo principal de ataques automatizados. «Somos una tienda pequeña» no importa frente a algo que escanea sin distinción.
¿Qué tipo de fallo es?
La autorización decide si quien hace la llamada puede realizar esta acción o ver estos datos. Es una cuestión distinta de si consiguió iniciar sesión (autenticación), y un fallo en la decisión de autorización pone al alcance funciones y datos que no deberían estar accesibles. La diferencia se explica en autenticación frente a autorización.
CVE-2026-71362 es un fallo de este tipo (CWE-863), que Adobe clasifica como escalada de privilegios. Su vector CVSS incluye PR:N, lo que se valora como explotable por alguien que no ha iniciado sesión, con alto impacto en confidencialidad e integridad. Este sitio no describe cómo se explota.
11 ago — se publica la solución (APSB26-92)
Prioridad 2 / «sin constancia de exploits» → muchas tiendas podrían aplazarla razonablemente hasta la siguiente actualización programada
18 ago — boletín actualizado por última vez
La nota sobre explotación no ha cambiado desde entonces
24 sep — CISA lo añade a KEV (plazo 27 sep)
Explotación confirmada. Las tiendas sin parchear pudieron ser objetivo antes de esta fecha
Quién está afectado
| Producto | Afectado | Corregido |
|---|---|---|
| Adobe Commerce | 2.4.9 / 2.4.8 / 2.4.7 / 2.4.6 / 2.4.5 / 2.4.4, cada una en 2026-jul y anteriores | 2026-aug de la misma línea |
| Adobe Commerce B2B | 1.5.3 / 1.5.2 / 1.4.2 / 1.3.4 / 1.3.3, cada una en 2026-jul y anteriores | 2026-aug de la misma línea |
| Magento Open Source | 2.4.9 / 2.4.8 / 2.4.7 / 2.4.6, cada una en 2026-jul y anteriores | 2026-aug de la misma línea |
| Líneas antiguas | NVD incluye como afectadas las versiones anteriores a 2.4.4 | Sin solución: migrar a una línea compatible |
El mismo boletín corrige otras seis vulnerabilidades
APSB26-92 corrige siete problemas en total, entre ellos XSS almacenado y otros fallos de autorización. Solo CVE-2026-71362 está en KEV, pero actualizar cierra los siete a la vez. Actualizar es más rápido que buscar soluciones alternativas para cada problema por separado.
Qué hacer
Actualiza a la versión 2026-aug de tu línea (primera prioridad)
Confirma la línea y el nivel de parche de tu tienda, actualiza a la versión 2026-aug de esa línea y comprueba que la versión en ejecución ha cambiado. Si tienes varios entornos (producción, preproducción, una tienda antigua de reserva), todo lo accesible desde internet está incluido. La tienda antigua que se olvidó es la que con más probabilidad no se parchea (lista de comprobación del inventario de seguridad).
En una línea sin soporte, pon la migración en la agenda de hoy
Las líneas anteriores a 2.4.4 no tienen solución. La migración lleva tiempo, así que mientras tanto restringe quién puede acceder a los puntos de entrada de administración y API y activa las protecciones de WAF para reducir quién puede alcanzarte. Esto reduce el riesgo mientras tanto, pero no corrige el fallo; solo la migración lo hace.
Comprueba si alguien accedió mientras estabas sin parchear
Si la tienda estuvo sin parchear en algún momento después del 11 de agosto, trata ese periodo como sospechoso; CISA también indica que este CVE requiere un análisis forense. Como mínimo: (1) Cuentas de administrador: cualquiera que no reconozcas o con permisos modificados. (2) Integraciones y tokens de API: cualquiera que no creaste o tokens emitidos recientemente. (3) Archivos y configuración: en especial scripts cargados en el checkout y HTML o ajustes editables desde el panel de administración (en los compromisos de comercio electrónico, el objetivo típico es colocar un script que robe datos de pago). (4) Registros: acceso a funciones de administración o API desde orígenes inusuales, a horas inusuales o con un volumen inusual.
Si algo parece mal, rota las credenciales a la vez
Si no puedes descartar una intrusión, rota las contraseñas de administrador, los tokens de integración y las claves de pagos y de APIs externas, e invalida todas las sesiones. Un parche cierra el fallo; no revoca credenciales ni claves que ya hayan sido robadas. Corregir el fallo y eliminar a un intruso son tareas distintas. El proceso completo está en el manual de gestión de vulnerabilidades.
Deja de esperar «la próxima actualización»
Como en este caso, una actualización considerada no urgente en su publicación puede volverse urgente más tarde. Recibe avisos cuando algo entre en KEV (las alertas de vulnerabilidades de este sitio son una forma), o aplica las actualizaciones de seguridad fuera del ciclo habitual de actualizaciones.
Opinión de este sitio: «prioridad 2» no estaba mal. Simplemente nunca se actualizó
Culpar a la valoración de Adobe en el momento de la publicación pasa por alto el punto. Si no se había observado explotación cuando se publicó, una prioridad más baja era una decisión razonable. El problema es que la valoración permanece sin cambios en el boletín mientras los lectores la tratan como vigente.
Esa estructura no es exclusiva de Adobe. La gravedad del proveedor (CVSS, prioridad) describe el fallo en sí; KEV y EPSS describen si se le está atacando ahora. La primera se fija una vez en la publicación y no cambia; la segunda cambia a diario. Por eso este sitio recomienda que el orden de parcheo no se decida una sola vez al publicarse, sino que se reasigne a medida que cambian KEV y EPSS. Cuarenta y cuatro días es el tiempo que la tienda permaneció expuesta sin esa reasignación.
Fuentes
- Adobe — Security update available for Adobe Commerce | APSB26-92 (publicado el 11 de agosto de 2026, última actualización el 18 de agosto; versiones afectadas y corregidas, prioridad, CVSS y la nota «sin constancia de exploits»)
- NVD — CVE-2026-71362 (CWE-863, CVSS v3.1 9.1; las configuraciones afectadas incluyen versiones anteriores a 2.4.4)
- CISA KEV — Known Exploited Vulnerabilities Catalog (añadida el 24 de septiembre de 2026, plazo el 27 de septiembre, se requiere análisis forense)
- FIRST — EPSS (0,896 el 25 de septiembre de 2026, percentil 99,78)
Lectura recomendada
- Para decidir: Priorizar con CVSS, EPSS y KEV / El manual de gestión de vulnerabilidades
- Cómo funciona: Autenticación frente a autorización / ¿Qué es IDOR?
- El caso contrario: CVE-2026-87902 (WordPress core: en KEV tres días después de la solución)
- Otra alerta sobre Magento: CVE-2026-45247 (RCE sin autenticación en una extensión de Magento)
- Términos: ¿Qué es CVSS? / ¿Qué es PCI DSS?