невзлом

Срочно · Интернет-магазины на Magento

Магазины на Magento и Adobe Commerce атакуют через критическую уязвимость

Коротко. В движках интернет-магазинов Magento Open Source и Adobe Commerce есть критическая уязвимость. Американское агентство кибербезопасности (CISA) 27 октября внесло её в список уязвимостей, которые используют в атаках. Исправление Adobe опубликовала 14 июля 2026 года: его нужно установить, если этого ещё не сделали.

Касается ли это вас.

  • Да, если магазин работает на Magento или Adobe Commerce и обновление «2026-jul» или более новое не ставили.
  • Скорее всего нет, если магазин на Tilda, Shopify, Wix, WooCommerce, 1С-Битрикс или другом движке. Эта уязвимость только в продуктах Adobe.
  • Не знаете, на чём магазин и обновляли ли его, — спросите того, кто его делал или ведёт.

Чем грозит. Злоумышленник может получить доступ к управлению магазином и к данным, которые в нём хранятся. Для атаки нужно, чтобы кто-то из пользователей магазина перешёл по ссылке или открыл подготовленную страницу. Сколько магазинов уже взломано, неизвестно: CISA подробностей атак не опубликовала. Adobe в своём бюллетене пока про атаки не написала, но CISA их подтвердила — считайте угрозу реальной.

Что сделать в первую очередь (сегодня).

  1. Перешлите тому, кто ведёт магазин, или в поддержку хостинга текст ниже.
  2. Пусть ответят, какая версия стоит и установлено ли обновление «2026-jul» (или более новое). Если нет — пусть установят его, сделав перед этим копию сайта и базы.

Получилось, если разработчик подтвердил номер версии с «2026-jul» или более новой. Не получилось или обновить нельзя — пусть напишут в поддержку Adobe или хостинга: временной защиты в бюллетене Adobe нет.

Что сделать во вторую очередь (на этой неделе).

  1. Попросите проверить магазин на посторонние файлы и чужой код на страницах. Если находят — одного обновления мало: нужно менять пароли администраторов и ключи доступа (разработчик подскажет, какие) и разбираться, что успели получить.
  2. Если магазин принимает платежи, при подозрении на взлом сообщите платёжному провайдеру.

Готовый текст для разработчика или хостинга. «Нужно проверить магазин на Magento / Adobe Commerce: установлено ли обновление Adobe от июля 2026 года (бюллетень APSB26-73, версии вида 2.4.8-2026-jul вместо 2.4.8-p5), закрывающее CVE-2026-48356. Эту уязвимость внесли в список CISA как используемую в атаках 27.10.2026. Если обновления нет — установите после резервной копии. Заодно проверьте, нет ли в файлах и на страницах магазина посторонних файлов и чужого кода».

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-10-29-magento/

Источник. Бюллетень Adobe APSB26-73: https://www.adobe.com/trust/security/products/commerce/apsb26-73.html. Подтверждение атак: каталог CISA KEV (запись CVE-2026-48356 от 27.10.2026).