חנות אונליין שרצה על Adobe Commerce, המערכת שרבים עדיין מכירים בשם Magento, יכולה לקבל מהרשת בקשה אחת שגורמת לה להריץ קוד של מי ששלח אותה. אין צורך בחשבון ואין צורך שמישהו יקליק על משהו. הציון הוא 10, המקסימום שיש, והחולשה כבר נמצאת בקטלוג החולשות המנוצלות בפועל של CISA.

מה החולשה?

מנוע תבניות הוא הרכיב שמרכיב את העמוד שהלקוח רואה. הוא מקבל תבנית, שלד של עמוד עם מקומות ריקים, וממלא אותם בנתונים: שם המוצר, המחיר, הכתובת של הקונה. כדי לעשות את זה הוא צריך להבחין כל הזמן בין מה שהוא הוראה בתבנית לבין מה שהוא סתם טקסט שצריך להדפיס.

ההבחנה הזאת היא בדיוק מה שנשבר כאן. תווים מיוחדים שמגיעים מבחוץ, מתוך הבקשה עצמה, אינם מנוטרלים לפני שהם מגיעים אל המנוע, והוא קורא אותם כהוראות משלו. מי שיודע לכתוב את התווים הנכונים גורם למנוע להריץ את מה שנשלח אליו במקום להדפיס אותו. לסוג הזה קוראים הזרקה למנוע תבניות.

הרשומה מוסיפה שתי נקודות שמסבירות את הציון המלא. הראשונה, הקוד רץ בהקשר של המשתמש הנוכחי. השנייה, ההיקף משתנה, כלומר ההשפעה אינה נעצרת ברכיב שבו נמצאה החולשה אלא חוצה אל מעבר לו. הצירוף של גישה מהרשת, בלי הזדהות, בלי שום פעולה של משתמש, עם היקף שמשתנה, הוא מה שמייצר 10 ולא 9 ומשהו.

אין כאן מצב קצה שצריך לכוון אליו.

מי מושפע?

הרשומה מונה את Adobe Commerce בכל הגרסאות עד 2.4.9 כולל, כלומר גם כל מה שקדם ל-2.4.4, וגם את Adobe Commerce B2B עד 1.3.4 כולל. השם Magento מופיע גם הוא ברשימת המוצרים, וזה חשוב למי שמריץ התקנה ותיקה ומכיר אותה רק בשם ההוא.

בישראל מדובר בעיקר בחנויות אונליין בינוניות וגדולות, ובסוכנויות הדיגיטל שמתחזקות אותן. הרבה מהחנויות האלה נבנו פעם אחת בידי ספק חיצוני וממשיכות לרוץ, וגרסת המערכת היא לא משהו שבעל החנות עוקב אחריו מדי חודש.

לקוח שקונה בחנות כזאת אינו יכול לעשות דבר בעצמו כאן. האחריות היא של מי שמפעיל את החנות, וזה גם מי שצריך לקרוא את הסעיף הבא.

האם מנוצלת בפועל?

כן. ב-8 בספטמבר 2026 נוספה החולשה לקטלוג ה-KEV של CISA, רשימת החולשות שסוכנות הסייבר האמריקאית מאשרת כי תוקפים משתמשים בהן בשטח, והמועד שנקבע לגופים הפדרליים לתקן הוא 11 בספטמבר.

NVD פרסמה את הרשומה ב-7 בספטמבר. יום אחד אחר כך היא כבר הייתה בקטלוג.

מה עושים?

בדקו איזו גרסה רצה אצלכם. אם זו Adobe Commerce כלשהי עד 2.4.9, או Adobe Commerce B2B עד 1.3.4, אתם בתוך הרשימה שברשומה.

את גרסאות התיקון עצמן מפרסמת Adobe בעדכון האבטחה APSB26-146. זה המסמך שמפרט איזו גרסה סוגרת את החולשה בכל ענף, והוא ההפניה הרשמית שברשומה. אל תסתמכו על מספר גרסה ששמעתם במקום אחר.

חנות אונליין אמורה להיות פתוחה לקהל, ולכן הטריק הרגיל של ניתוק מהאינטרנט עד שמספיקים לעדכן אינו זמין כאן כמו במערכות פנימיות. זה מה שהופך את העדכון לצעד היחיד שבאמת סוגר את זה.

ואחרי שעדכנתם, התייחסו לשרת כאל שרת שייתכן שנגעו בו. הניצול מאושר לכל המאוחר מ-8 בספטמבר, כך שחנות שלא עודכנה עד אז הייתה חשופה בזמן שכבר נעשה בחולשה שימוש. חפשו משתמשי ניהול שלא אתם יצרתם, קבצים שהשתנו בתיקיות הקוד, ומשימות מתוזמנות שנוספו בלי שביקשתם.