CISA confirma explotación de una falla de Adobe Commerce que permite tomar cuentas de clientes

CISA incorporó CVE-2026-71362 a su catálogo de vulnerabilidades explotadas conocidas el 24 de septiembre. La falla crítica, con CVSS 9,1, afecta Adobe Commerce y Magento Open Source y no requiere autenticación, privilegios administrativos ni interacción de la víctima.

Adobe la había corregido en el boletín APSB26-92 del 11 de agosto, cuando indicó que no conocía explotación activa. La nueva confirmación de CISA cambia la prioridad operativa: las tiendas que todavía no aplicaron el parche deben tratar su exposición como un posible incidente.

El problema es una autorización incorrecta en la gestión de la identidad dentro de la sesión. El análisis de Sansec determinó que un atacante puede cambiar una sesión de cliente hacia otra cuenta y obtener acceso a información privada asociada.

La explotación compromete principalmente confidencialidad e integridad de las cuentas. Puede exponer datos personales y facilitar acciones bajo la identidad de otra persona, aunque el aviso no describe un impacto directo sobre disponibilidad.

El boletín afecta ramas de Adobe Commerce hasta las compilaciones 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul, 2.4.5-2026-jul y 2.4.4-2026-jul; Adobe Commerce B2B también dispone de correcciones específicas. Magento Open Source está afectado en sus ramas indicadas hasta las compilaciones de julio.

Sansec informó haber bloqueado intentos de explotación desde agosto y Previdian observó actividad contra sensores honeypot el 10 de septiembre. Estos datos corroboran la señal de CISA, pero no identifican públicamente víctimas concretas.

Las organizaciones deben aplicar la actualización aislada de APSB26-92 correspondiente a su rama y verificar que la instalación quedó efectiva en todos los nodos de la tienda.