CVE-2026-75650: vulnerabilidad crítica de RCE sin autenticación en Adobe Commerce y Magento
Una vulnerabilidad remota de ejecución de código sin autenticación afecta a Adobe Commerce, B2B y Magento Open Source, ya está siendo explotada en producción.
Adobe ha publicado dos boletines de seguridad (apsb26-138 y apsb26-146) que corrigen la vulnerabilidad CVE-2026-75650. La nota de CERT‑In (CIVN-2026-0458) la clasifica como CRITICAL y confirma que está siendo explotada en la wild.
La falla permite a un atacante no autenticado ejecutar código arbitrario en cualquier servidor vulnerable que exponga la aplicación de comercio a Internet. No hay necesidad de credenciales, interacción de usuario ni pasos de escalado de privilegios, lo que elimina los puntos habituales de detección: intentos de login fallidos, elevaciones de privilegio o descargas de archivos sospechosos. El vector de ataque es simplemente una petición HTTP al endpoint expuesto del comercio.
Versiones afectadas
- Adobe Commerce 2.4.4 – 2.4.9‑2026‑aug y versiones anteriores.
- Adobe Commerce B2B 1.3.3 – 1.5.3‑2026‑aug y versiones anteriores.
- Magento Open Source 2.4.6 – 2.4.9‑2026‑aug y versiones anteriores.
Estas tres líneas comparten una base de código común, por lo que el mismo defecto se propaga a todos los productos. Un análisis de ZoomEye mostró más de 132 mil hosts con la huella de Magento en la Internet pública, lo que indica una superficie de ataque amplia. La búsqueda directa de la CVE en ZoomEye no devolvió resultados, pero eso solo refleja la frescura del identificador, no la ausencia de exposición.
Qué hacer
- Aplicar los parches publicados en los boletines de Adobe (apsb26-138 y apsb26-146).
- Verificar la versión instalada en cada instancia y confirmar que el parche está activo.
- Realizar una evaluación de compromiso en los servidores expuestos: revisar cuentas administrativas, cambios en plantillas o archivos y tráfico de salida sospechoso.
- Considerar la segmentación de red o el uso de WAF para limitar el acceso externo a los endpoints de comercio.
El hecho de que la explotación esté confirmada en la wild eleva la prioridad de esta CVE por encima de muchas otras vulnerabilidades críticas que requieren algún nivel de acceso previo. Los equipos de seguridad deben actualizar de inmediato y monitorear cualquier indicio de actividad inusual en los hosts que ejecuten Adobe Commerce o Magento.
Contexto CERT‑In publica sus notas de vulnerabilidad en lotes, lo que a veces lleva a los equipos a pasar por alto casos particulares. En este caso, la frase que destaca la explotación sin autenticación es la que diferencia a CVE-2026-75650 de los demás CVE listados en el mismo documento, y es la que debe guiar la respuesta operativa.
En resumen, la combinación de un vector sin autenticación, la amplia adopción del producto y la confirmación de explotación hace que CVE-2026-75650 sea una prioridad alta para cualquier organización que mantenga Adobe Commerce, B2B o Magento Open Source.
