Adobe Commerce: falla critica di autenticazione sfruttata poche ore dopo la patch

Marcus Chen Staff Engineer, Backend & Cloud, YuSMP Group · Sicurezza infrastrutturale e architettura cloud per prodotti US/EU

Cosa fa realmente CVE-2026-71362

La vulnerabilità è classificata come falla di autorizzazione errata. In pratica, permette a una richiesta HTTP non autenticata di sostituire il contesto di sessione attivo di un account cliente con quello di un altro — senza password, senza token, senza alcun accesso precedente. Un attaccante che la sfrutta ottiene accesso completo al profilo del cliente vittima: cronologia degli ordini, indirizzi di spedizione salvati, articoli nella lista dei desideri e qualsiasi token di pagamento che il negozio espone tramite la sessione.

Per i team di sviluppo Magento e i merchant che gestiscono Adobe Commerce, l'impatto potenziale è molto ampio. Qualsiasi negozio che gestisce account cliente — ovvero la quasi totalità degli storefront B2C e B2B — è un bersaglio. La vulnerabilità riguarda tutte e tre le linee di prodotto: Adobe Commerce, Commerce B2B e Magento Open Source, in tutte le versioni fino all'aggiornamento di luglio 2026.

L'advisory di Adobe ha classificato la vulnerabilità come Critica, assegnandole un punteggio CVSS tra 9.1 e 9.8 (i valori variano a seconda dello scorer; sia SecurityWeek che BleepingComputer hanno confermato la gravità Critica). Non è richiesta alcuna autenticazione. Non è necessaria alcuna interazione da parte dell'utente. La complessità dell'attacco è bassa.

Perché lo sfruttamento è stato così rapido

Adobe ha pubblicato il proprio advisory il 12 agosto 2026, in linea con le tempistiche standard del Patch Tuesday. Contestualmente, ha dichiarato che non erano stati osservati casi di sfruttamento attivo. Nel giro di poche ore, quella dichiarazione era già superata.

Sansec, azienda specializzata nella sicurezza di Magento, ha comunicato che il suo web application firewall stava già bloccando tentativi di sfruttamento contro i negozi Commerce e Magento prima che il ciclo di patching si fosse diffuso in modo significativo tra la base di merchant. Questo è un fenomeno a volte definito “dal Patch Tuesday all'exploit del mercoledì” — non è esclusivo di questa divulgazione, ma colpisce in modo particolarmente acuto le piattaforme open source ampiamente distribuite come Magento, dove la meccanica di patching (applicare una patch isolata sopra l'ultima release -p) richiede un intervento manuale dell'operatore anziché un aggiornamento automatico.

Il divario tra “advisory pubblicato” e “inizio dello sfruttamento” si sta riducendo in tutto il settore. Per gli operatori e-commerce, questo significa trattare qualsiasi CVE Critico contro una piattaforma rivolta ai clienti come un obbligo di patching immediato, non come un'attività da rimandare alla prossima finestra di manutenzione.

Cos'altro è stato corretto ad agosto 2026

La release di agosto 2026 ha affrontato quattro vulnerabilità aggiuntive insieme a CVE-2026-71362:

• CVE-2026-48413 (CVSS 8.7) — Cross-site scripting memorizzato in Commerce, sfruttabile senza privilegi di amministratore. Consente agli attaccanti di iniettare script malevoli persistenti nell'output dello storefront.
• CVE-2026-48414 (CVSS 7.7) — XSS memorizzato con potenziale di esecuzione di codice. Impatto maggiore ma richiede un certo livello di privilegi per l'iniezione.
• CVE-2026-48415 (CVSS 7.6) — Bypass di autorizzazione specifico per Commerce B2B. Interessa i merchant che utilizzano le funzionalità di account aziendale e ordini di acquisto.
• CVE-2026-48416 (CVSS 7.5) — Bypass di autorizzazione non autenticato. Distinto da CVE-2026-71362; i dettagli suggeriscono un percorso di codice diverso nella gestione di sessioni o permessi.

Adobe distribuisce la correzione come file di patch isolato che deve essere applicato sopra l'ultima release -p di Commerce o Magento Open Source. I negozi che non sono sull'ultima release -p devono prima effettuare l'upgrade prima di poter applicare la patch isolata.

Implicazioni per i team e-commerce italiani ed europei

Per i team di ingegneria e sicurezza che gestiscono piattaforme e-commerce in Italia e in Europa, questo incidente mette in luce tre problemi strutturali che vanno oltre l'obbligo immediato di patching:

L'architettura di sessione è una priorità di sicurezza di primo livello. Il fatto che una sessione possa essere sostituita tra clienti diversi senza autenticazione indica una lacuna nel modo in cui i token di sessione sono collegati all'identità a livello applicativo. Anche dopo aver applicato la patch, vale la pena verificare se la propria implementazione di Commerce utilizza personalizzazioni — estensioni, plugin di terze parti, integrazioni API headless — che potrebbero reintrodurre falle analoghe nella gestione delle sessioni.

Focus mercato italiano: Il Garante per la Protezione dei Dati Personali è l'autorità di controllo italiana competente per la ricezione delle notifiche di violazione dei dati ai sensi dell'art. 33 del GDPR. L'Italia è uno dei principali mercati europei per l'e-commerce nel settore moda, lusso e retail, con numerosi brand italiani che utilizzano Adobe Commerce o Magento Open Source. Per i merchant italiani che gestiscono account clienti su queste piattaforme, il periodo di exploitation attiva (12–15 agosto 2026) richiede un'analisi immediata dei log server e WAF: se risultano accessi non autorizzati a dati di clienti, la notifica al Garante entro 72 ore potrebbe essere obbligatoria. Il mancato rispetto della scadenza espone il titolare del trattamento a sanzioni amministrative fino al 2% del fatturato mondiale annuo.

L'esposizione a GDPR e PCI DSS è concreta. Un attaccante non autenticato in grado di visualizzare la cronologia degli ordini e gli indirizzi salvati di un cliente ha avuto accesso a dati personali senza autorizzazione — un incidente soggetto a notifica obbligatoria ai sensi dell'art. 33 del GDPR qualora vi sia evidenza di accesso effettivo. I merchant nell'UE dovrebbero valutare se la finestra di sfruttamento si sovrappone a traffico di attacco attivo e se il termine delle 72 ore per la notifica sia già decorso. Anche PCI DSS 4.0 richiede una valutazione tempestiva degli incidenti che interessano gli ambienti dati dei titolari di carta.

La copertura WAF non sostituisce il patching, ma guadagna tempo. La capacità di Sansec di bloccare lo sfruttamento prima che le patch fossero ampiamente diffuse dimostra che una regola WAF ben configurata, mirata allo specifico pattern di richiesta, può ridurre l'esposizione durante una finestra di patching. Non è una soluzione definitiva, ma per i merchant con dipendenze di upgrade complesse, una regola WAF temporanea che blocchi i pattern di sostituzione di sessione è una misura intermedia ragionevole mentre la patch viene pianificata.

Checklist di remediation

Questi sono i passi minimi per qualsiasi team che gestisce Adobe Commerce o Magento Open Source:

1. Verifica la versione corrente. Esegui bin/magento --version o controlla il pannello Admin. Identifica se sei sull'ultima release -p per la tua versione minore.
2. Aggiorna all'ultima release -p se non l'hai ancora fatto. La patch isolata di agosto non può essere applicata su release -p precedenti.
3. Applica la patch di sicurezza isolata di agosto 2026. Segui le istruzioni ufficiali di Adobe; la procedura varia in base alla versione di Commerce. Testa in staging prima di distribuire in produzione.
4. Se utilizzi Commerce B2B, applica anche le correzioni specifiche per B2B relative a CVE-2026-48415 e CVE-2026-48416 — queste sono separate dal file di patch principale di Commerce.
5. Esamina i log WAF e server alla ricerca di pattern anomali di cambio sessione nel periodo 12–15 agosto. Se trovi evidenze di sfruttamento, avvia immediatamente la valutazione dell'incidente ai fini GDPR e verifica se sussiste l'obbligo di notifica al Garante entro 72 ore.
6. Verifica le estensioni di terze parti che modificano la gestione di sessioni o identità cliente — questi sono i vettori più comuni per la reintroduzione di vulnerabilità già corrette negli ambienti personalizzati.

Domande frequenti

Fonti

BleepingComputer — Hackers exploit critical Adobe Commerce flaw to hijack customer accounts, agosto 2026
SecurityWeek — Adobe Commerce Bug Targeted Immediately After Disclosure, agosto 2026