בערב ה-7 בספטמבר, יום לפני עדכון האבטחה המתוכנן שלה, אדובי פרסמה תיקון חירום לחנויות Magento ו-Adobe Commerce. החולשה שהוא סוגר, CVE-2026-75650, קיבלה ציון 10 מלא, ולפי אדובי היא נוצלה נגד סוחרים עוד לפני שהיה לה מספר. הציון המלא לא מגיע מחומרה חריגה, אלא מתכונה אחת בווקטור שרוב הקוראים מדלגים עליה.

סקירה כללית

Magento הוא מנוע החנויות שעליו רצות חנויות אונליין רבות בעולם ובישראל, ואדובי מוכרת ממנו גרסה מסחרית, Adobe Commerce. כל חנות כזאת מייצרת לעצמה קבצים בעבודה שגרתית, מתבניות מייל ועד דוחות תקלה. החולשה מאפשרת לתוקף לשתול קוד PHP באחד מהקבצים האלה דרך שדות עיצוב בבקשה תמימה למראה, ואז לגרום לחנות להריץ אותו בעצמה. לסוג החולשה הזה קוראים Server-Side Template Injection, הזרקה למנוע התבניות של השרת. NVD מסווגת אותה CWE-1336.

לא נדרשים חשבון, סיסמה או פעולה כלשהי מהמנהל. חברת האבטחה ההולנדית Sansec, שגילתה את החולשה וקראה לה StyleSmuggler, שחזרה את השרשרת על התקנות נקיות של 2.4.7, 2.4.8 ו-2.4.9, והקורבן הראשון שתועד הריץ גרסה עם כל תיקוני יולי ואוגוסט.

מזהה: CVE-2026-75650
סוג: Server-Side Template Injection (CWE-1336), הרצת קוד מרחוק ללא אימות
מוצר: Adobe Commerce, Magento Open Source, Adobe Commerce B2B
גרסאות מושפעות: Adobe Commerce ו-Magento Open Source 2.4.4 עד 2.4.9, Adobe Commerce B2B 1.3.3 עד 1.5.3 (גרסאות אוגוסט 2026 ומטה)
גרסה מתוקנת: אין גרסה. התיקון הוא hotfix בשם VULN-39341 שמותקן כ-composer patch
ניצול בפועל: כן, אדובי מאשרת ניצול נגד סוחרים. טרם נכנסה לרשימת ה-KEV של CISA

ציר זמן

4 בספטמבר 2026: התקיפות מתחילות. שתי חנויות מתועדות נפרצות בתוך שמונה שעות
5 בספטמבר 2026: Sansec מפרסמת את הממצאים וקוראת לחולשה StyleSmuggler, בלי שיש לה CVE או תיקון
7 בספטמבר 2026: אדובי מפרסמת את APSB26-146 בעדיפות 1, הגבוהה שלה, ובה ה-hotfix. שעה אחר כך NVD נותנת ל-CVE-2026-75650 ציון 10

איך הניצול עובד

הניצול רץ בשני שלבים, ושניהם רוכבים על מנגנונים שהחנות מפעילה ממילא. בשלב הראשון התוקף שולח מה שנראה כבקשה שגרתית לנתוני עיצוב, ומבריח בתוך מאפייני ה-styles קוד PHP שעובר את הסינון. הקוד לא רץ מיד, אלא נכתב לקובץ שהחנות מייצרת בעצמה, למשל דוח על תשלום שנכשל. בשלב השני מופעלת תזכורת הדואר על אותו תשלום, החנות טוענת את הקובץ המורעל כתבנית, והמנוע מריץ את מה שנשתל בו.

ניתוח ציון ה-CVSS

ציון CVSS: 10.0

בין 9.8 ל-10 מפריד פרט אחד: האם הנזק נעצר בגבולות הרכיב הפגיע או יוצא ממנו. כאן הוא יוצא, כי מנוע התבניות מריץ קוד שהופך לתהליך על מערכת ההפעלה של השרת, ואדובי סימנה בהתאם את שדה ה-Scope בווקטור כ-Changed.

איפה למצוא Proof of Concept (PoC)

התיעוד הטכני היחיד של השרשרת הוא דוח המחקר של Sansec, שמתעדכן מאז ה-5 בספטמבר וכולל את שני שלבי ההזרקה ואת סימני הזיהוי של הדלת האחורית. אדובי לא פרסמה פירוט טכני, ומעבדות שחזור פומביות הופיעו רק אחרי התיקון.

התיקון סוגר את החור אבל לא מנקה חנות שכבר נפרצה, ובין ה-4 ל-7 בספטמבר פשוט לא היה מה להתקין.