Den 7 september 2026 publicerade Adobe säkerhetsbulletinen APSB26-146 för Adobe Commerce och Magento Open Source. Den åtgärdar en kritisk sårbarhet, CVE-2026-75650, som kan låta en angripare köra godtycklig kod på butiken utan att vara inloggad. Adobe skriver att de känner till att sårbarheten utnyttjas aktivt, och har gett den högsta prioritet (Priority 1).
Vad är sårbarheten?
CVE-2026-75650 klassas som Improper Neutralization of Special Elements Used in a Template Engine (CWE-1336), alltså att indata inte hanteras säkert i mallmotorn. Konsekvensen är godtycklig kodkörning. Sårbarheten kräver ingen autentisering och har fått CVSS-poängen 10.0, det högsta möjliga värdet.
I Adobes kunskapsbas beskrivs det som en zero-day, och Adobe uppger att den har utnyttjats i attacker mot Adobe Commerce-handlare.
Vem påverkas?
Adobe Commerce: 2.4.4 till och med 2.4.9, version -2026-aug och tidigare.
Magento Open Source: 2.4.6 till och med 2.4.9, version -2026-aug och tidigare.
Adobe Commerce B2B: 1.3.3, 1.3.4, 1.4.2, 1.5.2 och 1.5.3, version -2026-aug och tidigare.
Hotfixen finns för många äldre patchnivåer också, ända ner till 2.4.4. Adobes kunskapsbas har en tabell som visar vilken patchfil som gäller för just er version.
Viktigt: hotfixen ingår inte automatiskt
Dagen efter, den 8 september, släppte Adobe den ordinarie septemberuppdateringen APSB26-138, och den bulletinen innehåller en uttrycklig uppmaning att installera hotfixen för CVE-2026-75650 utöver de vanliga säkerhetsuppdateringarna. Har ni bara uppdaterat till 2026-sep ska ni alltså kontrollera att hotfixen (VULN-39341) också är installerad. För Adobe Commerce on Cloud beskriver Adobe hur ni gör det med Quality Patches Tool och kommandot vendor/bin/magento-patches status.
Vad ska du göra?
Installera hotfixen som passar er version enligt tabellen i Adobes kunskapsbas.
Byt krypteringsnyckeln. Adobe skriver att ni måste rotera krypteringsnycklarna för att åtgärda sårbarheten fullt ut.
Byt alla hemligheter som nyckeln skyddar. Det räcker inte att byta nyckeln. Enligt Adobe ska ni även byta lösenord för alla admin-användare, integrationstokens för REST, SOAP och GraphQL, OAuth-hemligheter, API-uppgifter hos betalleverantörer, databas- och Fastly-uppgifter, SSH- och deploy-nycklar samt API-nycklar för frakt, skatt och andra tredjepartstjänster. Byt dem hos respektive leverantör, inte bara i Magento.
Gör det i rätt ordning: hotfix först, sedan underhållsläge, stoppa cron, byt nycklar och uppgifter, töm cachen, starta cron och stäng av underhållsläget.
Installera även APSB26-138. Den åtgärdar andra sårbarheter än CVE-2026-75650.
Så kan vi hjälpa till
Magento är en av våra kärnplattformar. Vi hjälper gärna till att kontrollera vilken version och vilka patchar er butik har, installera hotfixen och genomföra nyckel- och lösenordsbytet utan att betalningar eller integrationer slutar fungera. Läs mer om vårt Magento-arbete, eller hör av er direkt.
Med ett serviceavtal håller vi koll på och installerar säkerhetsuppdateringar som denna åt dig, både för Magento och för dina moduler.