Kerngegevens
- Leverancier
- Adobe
- Soort software
- –
- Getroffen versies
- Adobe Commerce 2.4.4 t/m 2.4.9, release 2026-jul en ouder
- Adobe Commerce B2B 1.3.3, 1.3.4, 1.4.2, 1.5.2 en 1.5.3, release 2026-jul en ouder
- Magento Open Source 2.4.6 t/m 2.4.9, release 2026-jul en ouder
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Adobe Commerce 2.4.4 t/m 2.4.9, release 2026-aug
- Adobe Commerce B2B 1.3.3, 1.3.4, 1.4.2, 1.5.2 en 1.5.3, release 2026-aug
- Magento Open Source 2.4.6 t/m 2.4.9, release 2026-aug
- CVE gepubliceerd
- 11 augustus 2026
- Op de KEV-lijst sinds
- 24 september 2026
- Gepubliceerd op LekkenRadar
- 26 oktober 2026
- Laatst gewijzigd bij NVD
- 26 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Adobe Commerce, Adobe Commerce B2B en Magento Open Source zit een fout in de controle op toegangsrechten. Hierdoor kan een aanvaller meer rechten krijgen dan de bedoeling is en bij gevoelige gegevens en functies komen. Het lek heeft ernst kritiek (9,1) en staat sinds september 2026 op de lijst van actief misbruikte lekken van het Amerikaanse CISA. Een aanvaller heeft hiervoor geen inlog en geen medewerking van een gebruiker nodig.
Wie loopt risico?
Je loopt risico als je webwinkel draait op Adobe Commerce, Adobe Commerce B2B of Magento Open Source en nog niet bent bijgewerkt naar de versies uit het bulletin van augustus 2026. De aanval verloopt via het netwerk. Een winkel die vanaf internet bereikbaar is, is dus het meest blootgesteld. Zit je beheeromgeving of winkel achter extra afscherming, dan is het risico kleiner, maar bijwerken blijft nodig.
Wat moet je doen?
Controleer welke versie je gebruikt
Kijk na of je Adobe Commerce, Adobe Commerce B2B of Magento Open Source draait en welke versie en patchrelease dat is. Vergelijk dit met de lijst in het Adobe-bulletin APSB26-92.
Installeer de beveiligingsupdate
Werk bij naar de opgeloste versie uit de augustus-release, bijvoorbeeld 2.4.9-2026-aug voor Adobe Commerce en Magento Open Source of 1.5.3-2026-aug voor Adobe Commerce B2B. Welke update bij jouw versielijn hoort, staat in bulletin APSB26-92.
Zoek naar sporen van misbruik
Het lek wordt actief misbruikt. Controleer na het bijwerken of er verdachte activiteit is geweest, zoals onverwachte beheerdersaccounts of vreemde toegang tot gevoelige gegevens, en bekijk de logbestanden van je winkel.
Beperk blootstelling als bijwerken even niet kan
Kun je niet direct updaten, volg dan het advies van Adobe en beperk de toegang tot de winkel en de beheeromgeving zoveel mogelijk. Plan de update zo snel mogelijk.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een onjuiste autorisatiecontrole (CWE-863) in Adobe Commerce, Adobe Commerce B2B en Magento Open Source. De software controleert niet goed of een gebruiker of aanroeper recht heeft op bepaalde bronnen of acties, waardoor privilege-escalatie mogelijk is. Volgens de CVSS 3.1-vector (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) is het lek via het netwerk uit te buiten, met lage complexiteit, zonder voorafgaande rechten en zonder gebruikersinteractie. De gevolgen voor vertrouwelijkheid en integriteit zijn hoog, voor beschikbaarheid is er geen effect. De score van 9,1 komt van de CNA. De EPSS-score is 0,905. Er is geen publiek exploit in de gegevens vermeld.
CVSS-vector (versie 3.1, basisscore 9,1, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N- Zwakheid (CWE)
- CWE-863 · Onjuiste autorisatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 90,5%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 24 september 2026
- Deadline van CISA
- 27 september 2026
- Gebruikt door ransomwaregroepen
- Niet bekend