Adobe Commerce היא התוכנה שמריצה חנויות אונליין, והיא מופיעה ברשומה גם תחת השם Magento. בגרסאות 2.4.4 עד 2.4.9 יש בה חולשה שמאפשרת להעלות לשרת קובץ מסוג מסוכן ולהריץ דרכו קוד. הציון הוא 9.3 מתוך 10, וב-27 באוקטובר 2026 נוספה החולשה לקטלוג החולשות שמנוצלות בפועל. מי שמפעיל חנות כזאת צריך לטפל בזה עכשיו.
מה החולשה?
בכל חנות אונליין יש מקומות שבהם התוכנה מקבלת קבצים מבחוץ: תמונות של מוצרים, קבצים שלקוח מצרף, חומר שעובד מעלה למערכת הניהול. התוכנה אמורה לבדוק מה בדיוק הגיע ולסרב לסוגי קבצים שהשרת עצמו יודע להריץ, כי קובץ כזה הוא כבר לא נתון אלא הוראה. כאן הבדיקה הזאת אינה חוסמת מספיק, וקובץ מהסוג המסוכן עובר אותה. לסוג הכשל הזה קוראים CWE-434.
מה שמתקבל מזה, לפי הרשומה, הוא הרצת קוד שרירותי בהקשר של המשתמש הנוכחי. משם אפשר להמשיך לגישה מוגברת או לשליטה בחשבון ובסשן של הקורבן. במילים אחרות, התוקף אינו מקבל את השרת ברגע אחד, הוא מקבל דריסת רגל בזהות של מי שנפל בפח וממשיך משם.
יש כאן פרט אחד שמשנה את התמונה וכדאי לא לפספס אותו: הניצול דורש שמישהו בצד השני יעשה משהו. הרשומה אומרת במפורש שהקורבן צריך להיכנס לכתובת שנבנתה במיוחד או להתעסק עם עמוד שכבר נפרץ. זה אינו משהו שתוקף מפעיל אוטומטית על כל חנות ברשת בלי שאף אחד נוגע בכלום.
הדירוג מוסיף עוד שתי נקודות. הוא מסמן שינוי תחום, כלומר ההשפעה אינה נשארת ברכיב שבו הכשל יושב אלא חוצה ממנו הלאה. והוא אינו מסמן פגיעה בזמינות: הסודיות והשלמות מדורגות גבוה, הזמינות אינה מדורגת כלל. המטרה כאן אינה להפיל את החנות. היא להישאר בתוכה בלי שישימו לב.
מי מושפע?
הרשומה מונה את Adobe Commerce בגרסאות 2.4.4, 2.4.5, 2.4.6, 2.4.7, 2.4.8 ו-2.4.9, ואת Adobe Commerce B2B בגרסאות 1.3.3, 1.3.4, 1.4.2 ו-1.5.2. לצידם היא מזכירה גם את Magento ואת הרכיב I/O Events. הטווח הזה מכסה כמה שנים של גרסאות, כך שחנות שלא עודכנה זמן מה נמצאת בו כמעט בוודאות.
ההבחנה שחשובה כאן אינה בין מוצרים אלא בין שני סוגי קוראים. אם אתם מפעילים חנות, הדף הזה מיועד לכם ויש לכם מה לעשות הבוקר. אם אתם קונים בחנות כזאת, אין שום פעולה בצד שלכם: Adobe Commerce רצה על השרת של בעל החנות, והאחריות לעדכן נמצאת אצלו. מעקב אחרי החיובים בכרטיס הוא הרגל טוב בכל מקרה, אבל הוא אינו קשור לעדכון הזה.
על התפוצה בישראל הרשומה אינה אומרת דבר, ולכן גם כאן לא יופיעו מספרים. מה שאפשר לומר הוא שזאת תוכנה שמותקנת ומתוחזקת על שרת של מי שמפעיל אותה, ולא שירות שמישהו אחר מעדכן ברקע. אף אחד לא יתקין את התיקון הזה במקומכם.
האם מנוצלת בפועל?
כן. ב-27 באוקטובר 2026 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בשטח ולא רק במעבדה. המועד שנקבע לתיקון בגופי הממשל הפדרלי בארצות הברית הוא 10 בנובמבר 2026, וגם מי שאינו כפוף לתאריך הזה יכול לקרוא ממנו כמה מהר נראה לגוף שקבע אותו שצריך לזוז.
ושווה להסתכל על הפער בתאריכים, כי הוא מספר את הסיפור האמיתי. הרשומה פורסמה ב-NVD ב-14 ביולי 2026. הכניסה לקטלוג הגיעה ב-27 באוקטובר, יותר משלושה חודשים אחר כך. חנות שראתה את העדכון ביולי, החליטה שאין לחץ ודחתה אותו, עמדה פתוחה לאורך כל התקופה הזאת.
לצד הרשומה מופיעים שני מסמכי מחקר של חברת Sansec: אחד שכולל סימני היכר לפריצה ואחד שמתאר גל מתקפות רחב. למי שמפעיל חנות, הראשון הוא השימושי מביניהם, כי הוא נותן רשימה ממשית להשוות אליה במקום תחושה כללית שכדאי לבדוק.
מה עושים?
1. בררו באיזו גרסה אתם. אם המספר נופל בטווח 2.4.4 עד 2.4.9, או שאתם מריצים Adobe Commerce B2B בגרסה 1.3.3, 1.3.4, 1.4.2 או 1.5.2, אתם ברשימה ואין צורך להמשיך לברר.
2. התקינו את העדכון של Adobe. הגרסה המתקנת לכל ענף מופיעה בהודעת האבטחה APSB26-73, וזה המקור שממנו צריך לקחת את המספר. אל תסתמכו על מספר גרסה מפורום או מפוסט.
3. אל תסתפקו בעדכון. חולשה שנמצאת בקטלוג ה-KEV היא חולשה שכבר השתמשו בה, והעדכון נועל את הדלת אבל אינו מוציא מי שכבר נכנס דרכה. עברו על סימני ההיכר שפרסמה Sansec והשוו אותם לקבצים ולתוכן שיש אצלכם בפועל.
4. אם משהו מהרשימה מופיע אצלכם, התייחסו לשרת כאל שרת שנפרץ ולא כאל שרת שצריך עדכון. החליפו סיסמאות ומפתחות וסגרו סשנים פתוחים, כי לפי הרשומה החולשה מאפשרת לתוקף להשתלט בדיוק על אלה, על החשבון ועל הסשן של מי שנפגע.