Критическая уязвимость шаблонизатора в Adobe Commerce (CVE-2026-103849)
В Adobe Commerce, Adobe Commerce B2B и Magento Open Source выявлена уязвимость неправильной нейтрализации специальных элементов в шаблонизаторе (CWE-1336) с максимальным рейтингом CVSS 10. Эксплуатация не требует действий пользователя и может привести к выполнению произвольного кода. Уязвимость затрагивает интернет-магазины и B2B-платформы на базе этих продуктов.
Подробности
Уязвимость связана с обработкой шаблонов: недостаточная нейтрализация специальных элементов в шаблонном движке позволяет внедрить и выполнить вредоносный код в контексте текущего пользователя. По описанию CVE, успешная эксплуатация может привести к выполнению произвольного кода, а также к получению повышенного доступа либо установлению контроля над учётной записью или сессией жертвы. Важная особенность: для эксплуатации не требуется взаимодействие с пользователем, а показатель Scope изменён — влияние может выходить за пределы изначально скомпрометированного компонента. Совокупность этих факторов и максимальный CVSS делают уязвимость особенно опасной для публично доступных веб-приложений. Уязвимость затрагивает платформы, используемые для создания интернет-магазинов и B2B-порталов. В зоне риска — организации, развернувшие Adobe Commerce, Adobe Commerce B2B или Magento Open Source, особенно если витрины доступны из интернета и используют сторонние шаблоны или расширения.Что делать
Рекомендуется как можно быстрее установить обновление, выпущенное Adobe для затронутых продуктов и версий, — актуальные номера версий и патчи следует уточнить в официальном бюллетене безопасности вендора. До применения патча стоит рассмотреть временные митигации: ограничить доступ к административной панели и шаблонным функциям по IP-адресам или через VPN, усилить мониторинг подозрительной активности, проверить используемые темы и расширения на предмет небезопасных шаблонов. После обновления необходимо провести ревизию учётных записей и сессий на предмет признаков компрометации. Итог: CVE-2026-103849 — уязвимость максимального уровня критичности в популярной e-commerce платформе, допускающая выполнение кода без участия пользователя. Промедление с обновлением создаёт прямой риск для магазинов и B2B-систем, поэтому приоритет устранения должен быть наивысшим.Источник: CVE Project (cvelistV5)