Se gestisci Magento Open Source o Adobe Commerce, a settembre 2026 ci sono due interventi distinti da applicare: il hotfix per CVE-2026-75650 StyleSmuggler e l’aggiornamento di sicurezza APSB26-138. Adobe specifica che la correzione della zero-day già sfruttata va installata in aggiunta alle patch di settembre, non al loro posto.
È il punto più importante dell’aggiornamento pubblicato da Adobe l’8 settembre. Installare soltanto una build 2026-sep non equivale automaticamente ad aver applicato il hotfix StyleSmuggler; allo stesso modo, installare soltanto il hotfix CVE-2026-75650 lascia fuori le altre vulnerabilità corrette da APSB26-138. Per un’istanza esposta la sequenza corretta è quindi: hotfix, aggiornamento di sicurezza, verifica della versione e controllo di eventuali compromissioni precedenti.
Hotfix StyleSmuggler e patch settembre: non sono la stessa cosa
Adobe ha pubblicato due bollettini ravvicinati che vanno letti insieme. Il bollettino APSB26-146 riguarda specificamente CVE-2026-75650, la vulnerabilità nota come StyleSmuggler. Il successivo APSB26-138 raccoglie invece le correzioni di sicurezza di settembre per altre vulnerabilità di Adobe Commerce e Magento Open Source.
| Intervento | Cosa corregge | Sfruttamento noto | Azione |
|---|---|---|---|
| APSB26-146 | CVE-2026-75650 StyleSmuggler, esecuzione arbitraria di codice, CVSS 10.0 | Sì, Adobe conferma exploit nel mondo reale | Applica il hotfix dedicato |
| APSB26-138 | Più vulnerabilità critiche, importanti e moderate | Adobe non segnala exploit noti alla pubblicazione | Installa la release di sicurezza 2026-sep prevista per il tuo ramo |
La nota di Adobe è esplicita: il hotfix CVE-2026-75650 deve essere applicato oltre agli aggiornamenti distribuiti con APSB26-138. Questo evita un errore facile da fare in ambienti gestiti, dove si potrebbe vedere la nuova build di settembre e considerare chiusa anche StyleSmuggler senza aver verificato il fix separato.
StyleSmuggler CVE-2026-75650: perché resta la priorità più alta
CVE-2026-75650 è classificata da Adobe con CVSS 10.0 e può portare all’esecuzione arbitraria di codice senza autenticazione e senza interazione dell’utente nelle condizioni vulnerabili. Il dato che cambia la priorità è però un altro: la falla è già stata sfruttata in attacchi reali.
La ricerca di Sansec su StyleSmuggler ha documentato compromissioni osservate a partire dal 4 settembre. Il bollettino Adobe pubblicato il 7 settembre ha poi assegnato l’identificatore CVE ufficiale e distribuito il hotfix. Un negozio rimasto online e vulnerabile durante quella finestra non può quindi considerarsi pulito soltanto perché oggi è aggiornato.
APSB26-138: cosa aggiungono le patch Magento di settembre
Il bollettino dell’8 settembre corregge una serie separata di problemi di sicurezza. Tra quelli classificati come più seri compaiono vulnerabilità di stored cross-site scripting come CVE-2026-76200 e CVE-2026-76201, indicate con CVSS 9.3, oltre a problemi di autorizzazione come CVE-2026-77111. Adobe elenca anche altre falle con severità diversa.
Alla data del bollettino, Adobe dichiara di non essere a conoscenza di exploit attivi per le vulnerabilità di APSB26-138. Questo le distingue da StyleSmuggler, ma non rende facoltativo l’aggiornamento. Le patch sono disponibili e riguardano una piattaforma e-commerce che gestisce account, ordini, dati cliente, integrazioni e spesso credenziali di servizi esterni.
Quale versione di Magento devi installare
Adobe ha pubblicato release di sicurezza contrassegnate 2026-sep per i rami supportati di Adobe Commerce, Adobe Commerce B2B e Magento Open Source. La versione corretta dipende dal ramo realmente installato: non è utile indicare una singola build valida per tutti.
- Controlla il numero completo della versione dell’istanza, non soltanto 2.4.x.
- Apri la matrice ufficiale di APSB26-138 e identifica la release 2026-sep prevista per il tuo ramo.
- Verifica separatamente che il hotfix CVE-2026-75650 risulti applicato.
- Completa l’upgrade seguendo la procedura Adobe prevista per il tuo ambiente.
- Dopo l’intervento, ricontrolla versione e stato effettivo dell’istanza esposta.
Non usare la presenza di una patch precedente di agosto come prova di protezione. StyleSmuggler è emersa dopo quel ciclo di aggiornamenti e richiede il fix dedicato; APSB26-138 introduce poi un secondo gruppo di correzioni arrivato a settembre.
L’ordine operativo più sicuro
Su un sistema vulnerabile e raggiungibile la priorità è ridurre la finestra di esposizione senza perdere le informazioni utili a capire se sia già avvenuta una compromissione. Una procedura pratica può essere questa:
- Identifica versione, ramo e componenti installati.
- Applica il hotfix CVE-2026-75650 previsto da Adobe.
- Installa la release di sicurezza 2026-sep del tuo ramo secondo APSB26-138.
- Verifica che entrambi gli interventi risultino realmente presenti.
- Controlla log, processi, file e attività anomale riferibili alla finestra precedente alla patch.
- Se trovi indicatori sospetti, conserva le evidenze prima di ripulire o reinstallare componenti.
- Valuta la rotazione di credenziali, token e segreti raggiungibili se emerge una compromissione concreta.
La distinzione tra patching e incident response è essenziale. Aggiornare impedisce nuovi tentativi che sfruttano la vulnerabilità corretta, ma non elimina automaticamente file, account o persistenze inseriti prima della patch.
Indicatori di compromissione: cosa controllare dopo StyleSmuggler
Sansec ha pubblicato diversi elementi osservati durante la campagna. Tra questi compaiono processi mascherati con nomi come [kworker/u:8:0], fc-cache e chronyd, oltre a file anomali nelle directory temporanee e nella home dell’utente che esegue Magento.
Vanno controllati anche file PHP inattesi sotto pub/media, stringhe X_TRACE_ nei report e picchi insoliti di email relative a transazioni di pagamento fallite. Questi segnali vanno correlati con log, orari e normale attività del negozio: un singolo elemento non dimostra da solo l’attacco.
Vale anche il contrario: non trovare gli indicatori pubblici non dimostra che l’ambiente sia sicuramente pulito. Gli IoC descrivono ciò che è stato osservato dai ricercatori, non ogni possibile variante utilizzabile da un attaccante.
Disabilitare GraphQL non sostituisce il hotfix
Nelle prime ore dell’emergenza, quando la correzione Adobe non era ancora disponibile, ridurre o disabilitare temporaneamente l’esposizione GraphQL poteva essere una mitigazione utile per alcune installazioni. Ora il riferimento operativo è il hotfix ufficiale.
Se GraphQL è necessario per storefront headless, applicazioni o integrazioni, spegnerlo senza valutazione può interrompere servizi reali. La configurazione della superficie esposta resta importante, ma non deve essere usata come alternativa alla correzione del produttore.
La patch di settembre non cancella una compromissione precedente
Un server raggiungibile tra l’inizio degli attacchi osservati e l’applicazione del hotfix ha avuto una finestra di rischio concreta. Se dopo l’aggiornamento trovi account amministrativi sconosciuti, processi inattesi, file PHP modificati o attività che non coincidono con il normale funzionamento dello store, tratta il caso come un possibile incidente.
La situazione ricorda un altro problema distinto che abbiamo seguito su Adobe Commerce e Magento con CosmicSting. Le vulnerabilità non vanno confuse, ma la lezione operativa è la stessa: una patch chiude il difetto software, mentre un sistema già violato richiede anche controlli e bonifica.
Perché una falla sfruttata cambia la priorità
Una vulnerabilità critica appena scoperta e una vulnerabilità critica già sfruttata non hanno la stessa priorità operativa. Nel caso di CVE-2026-75650 esistono evidenze di attacchi reali e Adobe ha già distribuito la correzione. Rimandare aumenta una finestra di esposizione che non è più soltanto teorica.
Per comprendere questa differenza puoi consultare anche il nostro approfondimento su CISA e la gestione delle vulnerabilità sfruttate. Per StyleSmuggler e per le patch di settembre, però, le istruzioni da seguire restano quelle pubblicate direttamente da Adobe.
Checklist Magento settembre 2026
| Controllo | Azione |
|---|---|
| Istanza Magento/Adobe Commerce supportata | Verifica la release 2026-sep prevista da APSB26-138 |
| CVE-2026-75650 | Applica il hotfix dedicato APSB26-146 |
| Patch agosto già presenti | Non considerarle sufficienti per StyleSmuggler e il ciclo settembre |
| GraphQL ridotto o disattivato | Consideralo una mitigazione, non il fix |
| Server esposto prima della patch | Controlla log, processi, file e account |
| IoC o attività sospette | Avvia incident response e valuta rotazione dei segreti |
| Hotfix e update installati | Rileggi versione e stato reale dell’istanza |
La situazione aggiornata al 9 settembre 2026 richiede quindi due verifiche separate. StyleSmuggler va chiusa con il hotfix CVE-2026-75650 perché è già sfruttata; le altre vulnerabilità di settembre vanno corrette con la release indicata da APSB26-138. Solo dopo entrambe le operazioni e il controllo dell’ambiente esposto si può considerare ridotto il rischio legato a questo ciclo di patch.
Entra nella conversazione
Condividi il tuo punto di vista: non serve creare un account. I contributi restano soggetti alla moderazione editoriale.