Adobe ha publicado una actualización de seguridad urgente (APSB26-92) para Adobe Commerce y Magento Open Source. Este paquete de parches aborda una serie de vulnerabilidades críticas que podrían permitir a los ciberdelincuentes eludir los controles de acceso, elevar sus privilegios de forma encubierta y lograr la ejecución de código arbitrario en los entornos comerciales afectados, comprometiendo bases de datos de clientes y operaciones financieras.
La amenaza principal: Escalada de privilegios sin autenticación
El fallo de mayor gravedad en este ciclo es CVE-2026-71362, una vulnerabilidad de autorización incorrecta que ha alcanzado una puntuación CVSS casi crítica de 9.1. El peligro operativo de este defecto radica en que un atacante remoto y completamente no autenticado puede explotarlo para elevar sus privilegios en la plataforma sin necesidad de contar con acceso previo de administrador. Esto otorga al adversario la capacidad de realizar cambios estructurales no autorizados y exponer datos corporativos confidenciales.
Este riesgo de control de acceso se ve agravado por otras debilidades similares en el ecosistema, incluyendo CVE-2026-48416 (CVSS 7.5), que permite a un atacante no autenticado eludir los controles de seguridad, y CVE-2026-48415 (CVSS 7.6), un fallo específico para implementaciones de Adobe Commerce B2B donde un usuario autenticado pero sin privilegios administrativos puede burlar las barreras del sistema.
El vector de XSS Almacenado como puente para la ejecución de código
El boletín también neutraliza dos vulnerabilidades críticas de secuencias de comandos entre sitios (XSS) de tipo almacenado. La más preocupante es CVE-2026-48413 (CVSS 8.7), la cual permite a un atacante con una cuenta de privilegios limitados (como una cuenta de cliente comprometida) inyectar scripts maliciosos en la plataforma.
Estos scripts se guardan en la base de datos y se ejecutan silenciosamente cuando otros usuarios (incluyendo personal de soporte o administradores) interactúan con páginas legítimas, como la información de productos o los registros de clientes. Si se explotan con éxito, estas inyecciones pueden desencadenar la ejecución de código arbitrario en el servidor. El segundo fallo XSS, CVE-2026-48414 (CVSS 7.7), presenta una mecánica similar pero exige una mayor complejidad de ataque y privilegios de administrador previos.
Plan de mitigación y monitoreo perimetral
Aunque Adobe ha catalogado esta actualización con una Prioridad 2 y no ha detectado explotación activa en la naturaleza, la alta exposición y el valor económico de las plataformas de e-commerce exigen una respuesta inmediata por parte de los administradores.
Las vulnerabilidades afectan a las versiones 2.4.4 a 2.4.9 de Adobe Commerce y 2.4.6 a 2.4.9 de Magento Open Source (que ejecuten actualizaciones de julio de 2026 o anteriores), así como a múltiples ramas de Commerce B2B.
Se insta a los equipos de TI a aplicar los parches de agosto de 2026 a la brevedad. Paralelamente, el Centro de Operaciones de Seguridad (SOC) debe revisar y auditar las cuentas con altos privilegios, monitorear los registros de las aplicaciones en busca de intentos de inyección de código, y asegurarse de que el Firewall de Aplicaciones Web (WAF) esté correctamente configurado para bloquear patrones de ataque XSS y anomalías de autorización en tiempo real.
