Kritieke Magento-kwetsbaarheden: Adobe dicht CVSS 10.0-lek en tien andere beveiligingsproblemen

Magento kwetsbaarheid CVE-2026-103849 is een kritiek beveiligingslek in Adobe Commerce met een CVSS-score van 10.0. Adobe heeft op 13 oktober 2026 beveiligingsbulletin APSB26-153 gepubliceerd, waarin elf kwetsbaarheden worden verholpen. De ernstigste kwetsbaarheid maakt uitvoering van willekeurige code mogelijk zonder authenticatie. Organisaties die Adobe Commerce of Magento Open Source gebruiken, moeten controleren welke beveiligingspatches voor hun installatie beschikbaar zijn.

Voor organisaties die Magento of Adobe Commerce gebruiken voor hun webwinkel is het belangrijk om de beschikbare beveiligingsupdates zo snel mogelijk te installeren. Een succesvolle aanval kan gevolgen hebben voor de integriteit van de webshop, klantgegevens en de onderliggende hostingomgeving.

Wat is er aan de hand?

Adobe heeft beveiligingsbulletin APSB26-153 gepubliceerd. Hierin worden elf kwetsbaarheden beschreven die verschillende onderdelen van Adobe Commerce, Adobe Commerce B2B en Magento Open Source treffen.

De kwetsbaarheden kunnen onder meer leiden tot:

• Remote Code Execution (RCE): uitvoering van willekeurige code op de server.
• Privilege escalation: het verkrijgen van hogere gebruikersrechten.
• Arbitrary file system write: ongeautoriseerde wijzigingen in bestanden.
• Security feature bypass: het omzeilen van beveiligingsmaatregelen.
• Stored Cross-Site Scripting (XSS): het uitvoeren van ongewenste scripts in de browser van gebruikers.

Kritieke kwetsbaarheid CVE-2026-103849

De ernstigste kwetsbaarheid is CVE-2026-103849. Adobe kent deze kwetsbaarheid een CVSS-score van 10.0 toe.

Het beveiligingsprobleem ontstaat door onvoldoende veilige verwerking van gegevens binnen een template-engine. Hierdoor kan een aanvaller onder bepaalde omstandigheden zelf aangeleverde instructies laten uitvoeren.

Volgens Adobe vereist exploitatie geen authenticatie en geen interactie van een bestaande gebruiker.

Een succesvolle aanval kan leiden tot volledige compromittering van de getroffen applicatieomgeving.

Welke andere kritieke kwetsbaarheden zijn verholpen?

Naast CVE-2026-103849 heeft Adobe vier andere kritieke kwetsbaarheden verholpen:

• CVE-2026-92909 – CVSS 9.8: onvoldoende autorisatiecontroles binnen Adobe Commerce B2B, waardoor uitvoering van willekeurige code mogelijk is zonder authenticatie.
• CVE-2026-91013 – CVSS 9.3: stored XSS met mogelijke privilege escalation.
• CVE-2026-100133 – CVSS 9.3: stored XSS met mogelijke privilege escalation.
• CVE-2026-92464 – CVSS 9.1: onvoldoende invoervalidatie met mogelijke uitvoering van willekeurige code. Voor deze kwetsbaarheid zijn reeds hoge gebruikersrechten nodig.

Daarnaast zijn vijf kwetsbaarheden met een hoge ernstscore en één kwetsbaarheid met een gemiddelde ernstscore verholpen.

Welke Magento- en Adobe Commerce-versies zijn getroffen?

Volgens Adobe zijn onder meer de volgende versiereeksen getroffen:

• Adobe Commerce 2.4.4 tot en met 2.4.9, inclusief de beveiligingsstand van september 2026 en eerdere releases.
• Magento Open Source 2.4.6 tot en met 2.4.9, inclusief de beveiligingsstand van september 2026 en eerdere releases.
• Adobe Commerce B2B 1.3.3 tot en met 1.5.3, voor zover opgenomen in het beveiligingsbulletin.

Adobe vermeldt beveiligde oktoberstanden voor de ondersteunde releasebranches. De daadwerkelijke installatie verloopt via de toepasselijke beveiligingspatches.

Welke versie is veilig?

Adobe heeft voor oktober 2026 afzonderlijke beveiligingspatches beschikbaar gesteld.

Voor Magento Open Source zijn beveiligde oktoberstanden opgenomen voor versie 2.4.7, 2.4.8 en 2.4.9.

Voor Adobe Commerce zijn daarnaast patches beschikbaar voor oudere ondersteunde branches, waaronder 2.4.4, 2.4.5 en 2.4.6.

Belangrijk: de beveiligingspatches van oktober worden als afzonderlijke Isolated patches aangeboden. Adobe heeft hiervoor niet gelijktijdig nieuwe reguliere Composer-pakketten uitgebracht.

De patches moeten worden toegepast volgens de instructies voor de betreffende productversie. Eerdere maandelijkse Isolated patches moeten daarbij in de juiste volgorde aanwezig zijn.

Magento Open Source-gebruikers op versie 2.4.6 moeten extra aandacht besteden aan hun upgradepad, omdat Adobe deze versie niet opneemt in de lijst met nieuwe beveiligde Open Source-oktoberreleases.

Worden deze kwetsbaarheden actief aangevallen?

Adobe heeft op 13 oktober 2026 aangegeven niet bekend te zijn met actieve exploitatie van de elf kwetsbaarheden uit APSB26-153.

Dat betekent niet dat het veilig is om beveiligingsupdates uit te stellen.

Bijzonder belangrijk is dat de eerder ontdekte kwetsbaarheid CVE-2026-75650 wel actief is misbruikt.

Adobe benadrukt daarom dat beheerders de hotfix voor CVE-2026-75650 naast de nieuwe beveiligingspatches moeten toepassen.

Wat moeten Magento-beheerders nu doen?

1. Controleer welke Magento- of Adobe Commerce-versie momenteel is geïnstalleerd.
2. Controleer welke beveiligingspatches al zijn toegepast.
3. Download de juiste oktoberpatch via de officiële Adobe-kanalen.
4. Controleer of alle vereiste eerdere Isolated patches aanwezig zijn.
5. Installeer de nieuwe beveiligingspatch en test de werking van de webshop.
6. Controleer afzonderlijk of de hotfix voor CVE-2026-75650 aanwezig is.
7. Controleer betaalprocessen, extensies, integraties en administratieve functies.
8. Volg het advies van Adobe om encryptiesleutels en bijbehorende toegangsgegevens te vervangen.

Adobe biedt hiervoor de Commerce Version Tool aan. Vanuit de Magento-projectdirectory kan de patchstatus worden gecontroleerd met:

php vendor/bin/patch-status

Deze controle geeft inzicht in ontbrekende beveiligingspatches en de beschermingsstatus per kwetsbaarheid.

Controleer ook op mogelijke compromittering

Het installeren van een beveiligingspatch herstelt niet automatisch eventuele schade die vóór de update is ontstaan.

Vservs adviseert daarom om bij mogelijk kwetsbare installaties ook de volgende controles uit te voeren:

• Controleer op onbekende Magento-beheerdersaccounts en gewijzigde gebruikersrechten.
• Onderzoek wijzigingen aan applicatiebestanden en onverwachte PHP-bestanden.
• Controleer de mappen pub/media, app/code en andere schrijfbare directories.
• Onderzoek ongebruikelijke API-tokens, integraties en administratieve sessies.
• Controleer serverlogs op afwijkende verzoeken en verdachte POST-aanvragen.
• Controleer cronjobs en processen op ongeautoriseerde wijzigingen.
• Onderzoek afwijkend uitgaand netwerkverkeer en mogelijke gegevensoverdracht.

Wanneer daadwerkelijk misbruik wordt vermoed, moet de omgeving onderzocht worden voordat deze opnieuw volledig in productie wordt genomen.

Veilige Magento-hosting bij Vservs

Voor professionele Magento- en Adobe Commerce-webshops is goed serverbeheer belangrijk. Beveiligingsupdates van het besturingssysteem, PHP-configuratie, databasebeveiliging, toegangscontrole en monitoring vormen samen een belangrijk onderdeel van een veilige hostingomgeving.

Vservs levert Managed VPS-servers voor zakelijke hostingomgevingen waarbij controle, prestaties en beveiliging centraal staan.

Naast het installeren van applicatiepatches blijft het belangrijk om de volledige serveromgeving goed te onderhouden.

Bronnen

• Adobe Security Bulletin APSB26-153 – 13 oktober 2026
• Adobe Experience League – oktoberpatches en installatie-instructies

De Magento kwetsbaarheid CVE-2026-103849 ontstaat door onvoldoende veilige verwerking van speciale elementen binnen een template-engine. Hierdoor kan een externe aanvaller onder bepaalde omstandigheden willekeurige code laten uitvoeren.

Volgens Adobe zijn voor exploitatie geen gebruikersrechten of interactie van een bestaande gebruiker vereist. De kwetsbaarheid heeft daarom de maximale CVSS-score van 10.0 gekregen.

Adobe heeft op 13 oktober 2026 aangegeven niet bekend te zijn met actieve exploitatie van deze kwetsbaarheid. Desondanks adviseert Vservs om de beschikbare beveiligingspatches zo snel mogelijk te installeren.