Adobe Commerce, tentativi di exploit per la CVE-2026-71362: il…

Tentativi di sfruttamento della vulnerabilità critica CVE-2026-71362 in Adobe Commerce rilevati da Sansec. Adobe non conferma exploitation in the wild, ma la patch è

Il 13 agosto 2026 il landscape delle minacce e-commerce si confronta con una frizione documentata ma non risolta. Adobe ha pubblicato l'11 agosto l'advisory APSB26-92 con sette vulnerabilità, di cui CVE-2026-71362 con punteggio CVSS 9.1. Nelle stesse ore Sansec, vendor di sicurezza specializzato nel settore, ha annunciato che il suo WAF Shield sta bloccando tentativi di sfruttamento. La coincidenza temporale solleva una questione metodologica: cosa significa esattamente "exploit in the wild" quando chi lo rileva vende anche il prodotto che lo blocca.

CVSS 9.1 — Il punteggio massimo della vulnerabilità CVE-2026-71362, classificata critica per incorrect authorization (CWE-863) e sfruttabile senza autenticazione né interazione utente

Punti chiave

CVE-2026-71362 è una vulnerabilità di incorrect authorization (CWE-863) con CVSS 9.1, che permette di dirottare sessioni clienti senza autenticazione né interazione utente
Adobe afferma di non essere a conoscenza di exploit in the wild; Sansec riporta tentativi bloccati dal suo WAF Shield, senza quantificarne il numero
Le patch di agosto 2026 sono distribuite come file isolati, non come rilasci Composer aggiornati, con prerequisiti di versione che allargano la finestra di esposizione
Non emergono sovrapposizioni infrastrutturali che colleghino gli operatori dei tentativi rilevati a specifici gruppi di minaccia allo stato attuale

Il meccanismo tecnico: session switching senza credenziali

La vulnerabilità risiede nel meccanismo di associazione identità-sessione di Magento. Secondo l'analisi di Sansec riportata da BleepingComputer, "the vulnerability lets attackers switch a customer session to another customer account. This gives them access to the victim's account and private customer data". Il vettore è accessibile da rete, non richiede autenticazione, privilegi amministrativi né interazione utente: il profilo CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N documenta un attacco completamente automatizzabile.

Adobe classifica il bug come incorrect authorization (CWE-863), non come arbitrary code execution. Questa distinzione è rilevante: l'impatto dichiarato è di confidenzialità e integrità su singola sessione utente, non di compromissione dell'intero host. La fonte GBHackers ha suggerito un profilo ACE per questa CVE, ma tale attribuzione non è confermata dall'advisory ufficiale.

Il cuneo tra advisory Adobe e rilevamento Sansec

L'advisory APSB26-92, pubblicato l'11 agosto 2026, contiene la dichiarazione vincolante: "Adobe is not aware of any exploits in the wild for any of the issues addressed in these updates". Nello stesso arco temporale, Sansec comunica che il suo WAF Shield "is already blocking CVE-2026-71362 exploitation attempts". I due enunciati non sono tecnicamente in contraddizione: "tentativi bloccati" e "exploit confermato in the wild" occupano posizioni semantiche diverse.

La questione diventa però operativa quando si considera il modello di business di Sansec. L'azienda vende il prodotto che rileva l'attacco: questo conflitto di interesse non invalida il rilevamento, ma impone una lettura critica delle claim. Nessuna fonte indipendente ha corroborato i tentativi al di fuori dell'infrastruttura Sansec. Il numero esatto di tentativi, la geografia degli attacchi e l'identità degli operatori restano non specificati dal dossier.

L'attrito della distribuzione patch: file isolati al posto dei rilasci

La modalità di rilascio delle correzioni introduce un elemento di complessità non marginale. Secondo Sansec, "monthly fixes are distributed as isolated patch files rather than a new security release or updated Composer packages". Questo significa che gli amministratori non possono aggiornare via gestore di dipendenze, ma devono identificare manualmente il file corretto per la propria versione specifica, applicarlo nell'ordine giusto e verificarne i prerequisiti.

Le versioni affette e corrette seguono uno schema di nomenclatura mensile: per Adobe Commerce, le build -2026-jul sono vulnerabili, le -2026-aug corrette; per Magento Open Source, lo stesso pattern applicato ai branch 2.4.6-2.4.9. La granularità del versioning, se da un lato permette precisione, dall'altro allarga la superficie di errore umano nel patching, specialmente per e-commerce con personalizzazioni che complicano l'applicazione di patch non cumulative.

Cosa fare adesso

Verificare la versione esatta di Adobe Commerce o Magento Open Source in produzione e confrontarla con le tabelle delle versioni corrette nell'advisory APSB26-92, riconoscendo che il patching richiede file isolati con prerequisiti specifici
Se si opera un e-commerce sulla piattaforma, valutare il monitoraggio dei log di autenticazione per anomalie di session switching tra account cliente, attività che la piattaforma nativamente logga
Chi utilizza WAF di terze parti, inclusi servizi analoghi a Shield, deve verificare che le regole di rilevamento per CVE-2026-71362 siano attive e funzionanti, senza assumere che la presenza del vendor sia sufficiente
Per i clienti finali dei merchant su Adobe Commerce: non esiste azione diretta, ma la consapevolezza che i dati di account e storico acquisti possono essere esposti senza propria interazione è un elemento informativo rilevante

Perché la discrepanza tra fonti conta più del singolo dato

Il caso CVE-2026-71362 non è un'esercitazione sui bug di autorizzazione, ma un test sulla catena di fiducia nel rilevamento delle minacce. Quando un vendor di sicurezza annuncia il blocco di exploit per una vulnerabilità che il vendor del software nega di vedere attiva, il mercato riceve segnali in tensione. La prudenza editoriale suggerisce di trattare entrambe le posizioni come vere nel loro ambito: Adobe non ha visibilità su tentativi che forse non hanno ancora raggiunto obiettivi rilevanti; Sansec ha visibilità filtrata attraverso la propria infrastruttura commerciale.

Per gli operatori e-commerce, la conclusione pratica non cambia: la patch esiste, è disponibile, è non banale da applicare. Il rischio di session hijacking su piattaforme che gestiscono dati cliente e transazioni rende l'aggiornamento prioritario indipendentemente dalla conta dei tentativi rilevati. La misura della minaccia non è nel numero di attacchi bloccati, ma nella facilità tecnica dello sfruttamento: un attacco senza autenticazione né interazione utente, con CVSS 9.1, non richiede conferme esterne per giustificare l'azione.

Il monitoraggio continuo delle dichiarazioni Adobe e di eventuali aggiornamenti da fonti indipendenti rimane indicato. Allo stato, nessuna evidenza corrobora compromissioni riuscite né attribuisce i tentativi a operatori identificabili.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti