אדובי תיקנה חולשה בפלטפורמת החנויות שלה שאפשרה לתוקף להשתלט על הסשן של משתמש, כלומר על החיבור הפתוח שלו לאתר. הניצול אינו מחייב שהמשתמש ילחץ על משהו. הציון הוא 9.1 מתוך 10, וב-24 באוקטובר 2025 נכנסה החולשה לקטלוג החולשות המנוצלות בפועל של CISA.

מה החולשה?

כשאתם מתחברים לחנות, השרת פותח עבורכם סשן: רשומה שאומרת שהדפדפן הזה הוא אתם, כדי שלא תצטרכו להזדהות מחדש בכל לחיצה. כל עוד הסשן חי, מי שמחזיק בו הוא אתם מבחינת האתר.

החולשה נמצאת בבדיקת הקלט שמגיע לשרת. קלט שנשלח בצורה מסוימת לא נבדק כראוי לפני שהמערכת פעלה לפיו, ומשם אפשר היה להגיע לסשן של משתמש אחר. הרשומה מגדירה את התוצאה כהשתלטות על סשן, ומסמנת פגיעה גבוהה גם בסודיות המידע וגם בשלמותו.

מה שהופך את זה לחמור בחנות דווקא הוא מה ששמור מעבר לסשן עצמו: כתובת למשלוח, היסטוריית הזמנות, ובחנות שבה מנהל מחובר גם ההגדרות של האתר. הווקטור מציין שאין צורך בשום פעולה מצד הקורבן.

מי מושפע?

הרשומה מונה את קווי הגרסאות 2.4.4, 2.4.5, 2.4.6, 2.4.7, 2.4.8 ו-2.4.9 של Adobe Commerce, ולצידם את Adobe Commerce B2B בגרסאות 1.3.3, 1.3.4, 1.4.2 ו-1.5.2. רמות התיקון שמופיעות ברשומה הן 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14 ו-2.4.4-p15, וכל מה שמתחתיהן חשוף.

זה המקום שבו החולשה הזאת נוגעת לישראלים יותר מרוב מה שמופיע כאן. Magento ו-Adobe Commerce מפעילות חנויות אונליין רבות בארץ, כולל של מותגים מוכרים, ובעל חנות אינו תמיד יודע על מה היא בנויה. אם אתם קונים באתר, אין לכם מה לבדוק מצדכם. אם אתם מפעילים אותו, יש.

האם מנוצלת בפועל?

כן. ב-24 באוקטובר 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע כי תוקפים מנצלים אותן בפועל, והמועד שנקבע לגופים הפדרליים האמריקאיים לסגור אותה היה 14 בנובמבר 2025.

חנות מקוונת נסרקת כל הזמן גם בלי קשר לחולשה מסוימת, פשוט מפני שיש שם כסף. חולשה שאינה דורשת פעולה של הקורבן מתאימה במיוחד לסריקה אוטומטית של הרבה אתרים בזה אחר זה.

מה עושים?

1. בררו איזו גרסה ואיזו רמת תיקון מותקנות אצלכם. המידע מופיע במסך המערכת בממשק הניהול, ומי שמתחזק את החנות יוכל לומר זאת מיד.
2. התקינו את רמת התיקון של הקו שלכם: 2.4.4-p15, 2.4.5-p14, 2.4.6-p12, 2.4.7-p7, 2.4.8-p2 או 2.4.9-alpha2. אל תחפשו גרסה אחת לכולם, כי כל קו מקבל מספר משלו. ההודעה של אדובי מרכזת את הקבצים.
3. אם אתם מריצים גם Adobe Commerce B2B, בדקו אותו בנפרד. הוא מופיע ברשומה עם מספרי גרסה משלו.
4. אחרי ההתקנה נתקו את הסשנים הפתוחים ובקשו התחברות מחדש, במיוחד בחשבונות הניהול. סשן שנחטף לפני העדכון ממשיך לעבוד עד שמבטלים אותו.