Это краткий разбор уязвимости, которая активно эксплуатируется (есть в каталоге CISA KEV). Статья описывает, что происходит, кто затронут и как реагировать, с точки зрения защитника, без инструкций по воспроизведению.
- CVE
- CVE-2026-71362
- Серьёзность
- Критическая (CVSS 9.1 / v3.1)
- Тип
- Некорректная авторизация (CWE-863)
- Последствия
- Повышение привилегий — по словам Adobe, «расширенный доступ к защищаемым ресурсам»
- Предусловия
- Аутентификация не нужна, права администратора не нужны, действий пользователя не требуется
- Затронуты
- Adobe Commerce (2.4.4–2.4.9), Adobe Commerce B2B и Magento Open Source (2.4.6–2.4.9), каждая ветка с «2026-jul» и более ранними
- Исправление
- Релиз «2026-aug» той же ветки (опубликован 11 августа 2026 года, бюллетень APSB26-92)
- Эксплуатация
- В CISA KEV (добавлено 24 сентября 2026 года, срок устранения — 27 сентября), отмечено требование криминалистического анализа
Насколько опасно ждать?
Отсутствие аутентификации и действий пользователя означает, что до каждого магазина, доступного из интернета, можно добраться. Оценка EPSS около 90% ставит эту уязвимость в верхние 0,3% среди всех CVE. Интернет-магазины хранят данные клиентов и принимают платежи, поэтому давно являются излюбленной целью автоматизированных атак. Довод «мы маленький магазин» здесь не работает: сканирование идёт без разбора.
Какой это тип ошибки?
Авторизация определяет, может ли этот вызывающий субъект выполнить это действие или увидеть эти данные. Это отдельный вопрос от того, смог ли он войти в систему (аутентификация), и пробел в решении об авторизации делает доступными функции и данные, которые не должны быть доступны. Различие описано в статье аутентификация и авторизация.
CVE-2026-71362 — именно такой пробел (CWE-863), который Adobe классифицирует как повышение привилегий. Её вектор CVSS включает PR:N, то есть эксплуатировать может тот, кто не вошёл в систему, а влияние высокое и на конфиденциальность, и на целостность. Этот сайт не описывает способ эксплуатации.
11 авг — выпущено исправление (APSB26-92)
Приоритет 2 / «не знаем об эксплуатации» → многие магазины могли разумно отложить обновление до следующего планового
18 авг — бюллетень последний раз обновлён
Примечание об эксплуатации с тех пор не менялось
24 сен — CISA добавляет в KEV (срок 27 сен)
Эксплуатация подтверждена. Магазины без исправления могли стать целью до этой даты
Кого это касается
| Продукт | Затронуты | Исправлено |
|---|---|---|
| Adobe Commerce | 2.4.9 / 2.4.8 / 2.4.7 / 2.4.6 / 2.4.5 / 2.4.4, каждая с 2026-jul и более ранними | 2026-aug той же ветки |
| Adobe Commerce B2B | 1.5.3 / 1.5.2 / 1.4.2 / 1.3.4 / 1.3.3, каждая с 2026-jul и более ранними | 2026-aug той же ветки |
| Magento Open Source | 2.4.9 / 2.4.8 / 2.4.7 / 2.4.6, каждая с 2026-jul и более ранними | 2026-aug той же ветки |
| Старые ветки | NVD относит к затронутым версии до 2.4.4 | Исправления нет — перейдите на поддерживаемую ветку |
Тот же бюллетень закрывает ещё шесть уязвимостей
APSB26-92 исправляет семь проблем, в том числе хранимый XSS и другие ошибки авторизации. Только CVE-2026-71362 есть в KEV, но обновление закрывает все семь сразу. Обновиться быстрее, чем искать обходные меры для каждой проблемы.
Что делать
Обновитесь до релиза 2026-aug своей ветки (первый приоритет)
Подтвердите ветку и уровень обновлений вашего магазина, затем установите релиз 2026-aug этой ветки и убедитесь, что запущенная версия изменилась. Если у вас несколько окружений — рабочее, тестовое, старая запасная витрина, — всё, что доступно из интернета, входит в зону проверки. Забытый старый магазин реже всего обновляют (чек-лист инвентаризации безопасности).
На неподдерживаемой ветке поставьте миграцию в план на сегодня
Ветки старше 2.4.4 исправления не получат. Миграция занимает время, поэтому пока ограничьте, кто может обращаться к точкам входа админки и API, и включите защиту WAF, чтобы сократить круг тех, кто может до вас добраться. Это снижает риск на время, но не устраняет уязвимость; её устраняет только миграция.
Проверьте, не проникли ли в магазин, пока он был без обновления
Если магазин оставался без обновления в любой момент после 11 августа, считайте этот период подозрительным; CISA также указывает, что для этой CVE требуется криминалистический анализ. Как минимум: (1) Учётные записи администраторов — любые незнакомые или с изменёнными правами. (2) Интеграции и API-токены — любые, которые вы не создавали, или недавно выпущенные токены. (3) Файлы и конфигурация — особенно скрипты, загружаемые на странице оформления заказа, и HTML-блоки и настройки, которые можно редактировать из панели администратора (в компрометациях интернет-магазинов типичная цель — внедрить скрипт, крадущий платёжные данные). (4) Логи — обращения к функциям админки или API из необычных источников, в необычное время или в необычном объёме.
Если что-то выглядит неправильно, смените учётные данные комплексно
Если вы не можете исключить взлом, смените пароли администраторов, токены интеграций и ключи для платёжных и внешних API, а также завершите все сеансы. Исправление закрывает уязвимость; оно не отзывает учётные данные или ключи, которые уже могли быть украдены. Устранение уязвимости и удаление злоумышленника — разные задачи. Полный порядок действий описан в руководстве по устранению уязвимостей.
Перестаньте ждать «следующего обновления»
Как и в этом случае, обновление, признанное несрочным при выпуске, может стать срочным позже. Подписывайтесь на уведомления о появлении записей в KEV (одна из возможностей — оповещения об уязвимостях этого сайта) или устанавливайте обновления безопасности вне обычного цикла обновлений.
Позиция этого сайта: «приоритет 2» не был ошибкой. Его просто никогда не пересматривали
Винить оценку Adobe на момент выпуска — значит упустить главное. Если на момент выхода эксплуатации не наблюдалось, более низкий приоритет был разумным решением. Проблема в том, что оценка в бюллетене не меняется, а читатели воспринимают её как актуальную.
Такая структура свойственна не только Adobe. Оценка вендора (CVSS, приоритет) описывает сам дефект; KEV и EPSS описывают, атакуется ли он сейчас. Первая задаётся один раз при публикации и не меняется; вторая меняется ежедневно. Поэтому этот сайт рекомендует, чтобы порядок установки исправлений определялся не один раз при выпуске, а пересматривался по мере изменения KEV и EPSS. Сорок четыре дня — столько магазин оставался уязвимым без такого пересмотра.
Источники
- Adobe — Security update available for Adobe Commerce | APSB26-92 (опубликован 11 августа 2026 года, последнее обновление 18 августа; затронутые и исправленные версии, приоритет, CVSS и примечание «не знаем об эксплуатации»)
- NVD — CVE-2026-71362 (CWE-863, CVSS v3.1 9.1; в затронутых конфигурациях указаны версии до 2.4.4)
- CISA KEV — Known Exploited Vulnerabilities Catalog (добавлено 24 сентября 2026 года, срок 27 сентября, требуется криминалистический анализ)
- FIRST — EPSS (0,896 на 25 сентября 2026 года, 99,78-й процентиль)
Читайте дальше
- Решение: Приоритизация с помощью CVSS, EPSS и KEV / Руководство по устранению уязвимостей
- Как это работает: Аутентификация и авторизация / Что такое IDOR?
- Противоположный случай: CVE-2026-87902 (ядро WordPress: в KEV через три дня после исправления)
- Другое оповещение по Magento: CVE-2026-45247 (неаутентифицированное удалённое выполнение кода в расширении Magento)
- Термины: Что такое CVSS? / Что такое PCI DSS?