Adobe heeft meerdere beveiligingslekken gedicht in Adobe Commerce. Een belangrijk deel daarvan draait om stored Cross‑Site Scripting (XSS). Aanvallers kunnen hierbij kwaadwillige JavaScript-code in invoervelden stoppen. Die code draait vervolgens in de browser van het slachtoffer. Gevolg: sessies kapen, rechten uitbreiden of acties uitvoeren namens een ingelogde gebruiker. Dit type kwetsbaarheid komt regelmatig terug in Commerce-updates en is opnieuw aangepakt in de meest recente patchronde van oktober 2026. (adobe.com)

Opvallend is ook een kritiek probleem in de template‑laag van Adobe Commerce (CWE‑1336). Door een gebrekkige neutralisatie van speciale tekens kan zonder gebruikersinteractie willekeurige code worden uitgevoerd. Deze kwetsbaarheid is geregistreerd als CVE‑2026‑75650 en kreeg in september een aparte noodupdate. Adobe meldt dat dit lek actief werd misbruikt. Organisaties moeten daarom naast de reguliere patches óók de hotfix voor CVE‑2026‑75650 installeren. (helpx.adobe.com)

Verder speelden fouten in autorisatie‑ en inputvalidatiecontroles. Daardoor konden aanvallers met (zeer) beperkte rechten beveiligingsmaatregelen omzeilen en ongeautoriseerde lees‑ en schrijfbewerkingen doen. In kettingaanvallen kan dat zelfs uitmonden in remote code execution. De Nederlandse NCSC waarschuwde dit voorjaar al voor dit soort issues in Commerce en adviseerde tijdig te updaten. (advisories.ncsc.nl)

Wat is er precies gefixt in oktober 2026?

• Adobe publiceerde op 13 oktober 2026 een nieuwe beveiligingsupdate (APSB26‑153) voor Commerce en Magento Open Source. Die verhelpt onder meer kwetsbaarheden die kunnen leiden tot code‑uitvoering, privilege‑escalatie, arbitrary file write en security‑bypass. In de details staan ook meerdere stored‑XSS‑lekken en opnieuw een template‑engine issue genoemd. (adobe.com)
• In september 2026 verscheen een kritieke out‑of‑band update (APSB26‑146) specifiek voor CVE‑2026‑75650. Die heeft een CVSS‑score 10, pre‑auth, en vereist dus topprioriteit. (helpx.adobe.com)
• Eerdere patches in mei 2026 (APSB26‑49) pakten al autorisatie‑ en resource‑problemen aan in meerdere 2.4‑releaselijnen en de B2B‑module. (adobe.com)

Aanbevolen aanpak voor beheerders

• Patchvolgorde: draai eerst de hotfix voor CVE‑2026‑75650 (september), voer daarna de oktober‑update uit die past bij jouw release‑lijn (bijv. 2.4.9‑2026‑oct, 2.4.8‑2026‑oct, enz.). Test in acceptatie, maak een back‑up en plan een kort onderhoudsvenster. (adobe.com)
• Controleer je afhankelijkheden: pas eventueel thema‑ of extensie‑code aan die invoer onvoldoende saneert of die direct met de template‑engine interageert.
• Harden je omgeving: zet Content Security Policy (CSP) strakker, minimaliseer admin‑rechten, gebruik 2FA en IP‑allowlists voor de backend.
• Monitor en reageer: houd logbestanden in de gaten op afwijkend verkeer, scan je shop na de update en roep bij twijfel een rollback of extra hotfix in.
• Blijf op de hoogte: Adobe heeft security‑bulletins ondergebracht in het Trust Center; abonneer je op meldingen zodat je toekomstige patches niet mist. (helpx.adobe.com)

Kortom: deze ronde dicht concrete gaten in XSS‑afhandeling, de template‑engine en autorisatiecontroles. Installeer de september‑hotfix en de oktober‑patch zonder uitstel, zeker als je klantdata verwerkt of bedrijfskritische omzet via Commerce loopt. Daarmee verklein je het risico op sessiekaping, rechtentoe‑eigening en — in het slechtste geval — volledige systeemovername. (adobe.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.