Магазини на Magento та Adobe Commerce атакують через критичну вразливість без авторизації

Власникам інтернет-магазинів на Adobe Commerce та Magento Open Source радять негайно встановити оновлення через активну експлуатацію вразливості CVE-2026-75650. Попередження оприлюднив Австралійський центр кібербезпеки. За його даними, проблема може дозволити сторонній людині виконати код на сервері без попередньої авторизації, якщо назовні доступна кінцева точка /graphql.

Що це означає для покупця і бізнесу

Magento лежить в основі великої кількості магазинів, тому технічна помилка може перетворитися на проблему для широкої аудиторії. На сервері зберігаються замовлення, адреси, контактні дані, службові облікові записи та інтеграції з оплатою і доставкою. Виконання стороннього коду теоретично дає змогу змінювати сторінки, викрадати дані, створювати приховані адміністративні входи або використовувати сервер для подальших атак.

Це не означає, що кожен магазин на Magento вже зламаний. Ризик залежить від версії, конфігурації та доступності GraphQL. Однак офіційне повідомлення про активну експлуатацію змінює пріоритет: спочатку потрібно закрити вразливість і перевірити систему, а вже потім повертатися до звичайного графіка технічних робіт.

Оновлення вже доступне

Adobe випустила виправлення 7 вересня 2026 року. Адміністраторам потрібно звірити свою редакцію та версію з бюлетенем виробника, створити перевірену резервну копію, застосувати патч і протестувати оформлення замовлення, каталог, пошук та інтеграції. Резервна копія потрібна для відновлення, але вона не є приводом залишати вразливий магазин відкритим.

Якщо негайне оновлення неможливе, ACSC радить обмежити доступ до проблемної кінцевої точки та уважно стежити за активністю. Це лише тимчасове зниження ризику, а не повна заміна патча. Власникам магазинів варто залучити розробника або хостинг-провайдера, а не експериментувати без копії даних на робочому сервері.

Ознаки, які не можна ігнорувати

• несподівані заплановані завдання або нові фонові процеси;
• зміни файлів шаблонів і модулів без релізу від команди;
• невідомі адміністратори, інтеграції, API-токени чи SSH-ключі;
• дивні запити до /graphql та різке зростання помилок у журналах;
• перенаправлення покупців, сторонній JavaScript на сторінці оплати або незвична мережева активність сервера.

Якщо є підозра на проникнення, не слід одразу стирати всі журнали чи перевстановлювати систему без фіксації доказів. Спочатку ізолюють уражений вузол, зберігають логи й образи, визначають часовий проміжок інциденту, а потім змінюють ключі та паролі з чистого пристрою.

Що варто запитати у підрядника

Власник бізнесу може не знати номер версії Magento, але має право отримати конкретну відповідь: чи вразливий магазин, коли встановлено патч, чи доступний GraphQL з інтернету, які журнали перевірено і чи були перевипущені секрети після можливої компрометації. Фраза «у нас стоїть антивірус» не відповідає на ці питання.

Висновок

Критична помилка у популярній платформі електронної комерції — це ризик не лише для технічної команди, а й для покупців та репутації магазину. Найрозумніша послідовність дій: перевірити версію, негайно встановити офіційне виправлення, обмежити зайвий зовнішній доступ і проаналізувати журнали на предмет уже здійснених атак. Матеріал перекладено й адаптовано з повідомлення ACSC; © Commonwealth of Australia 2026, ліцензія CC BY 4.0.