CVE-2026-75650: Kritisk fejl i Adobe Commerce

CVE-2026-75650 er en sårbarhed i Adobe Commerce, der gør det muligt at injicere kode i det skabelonsystem, der genererer sider på webshoppen. Et skabelonsystem (template engine) sætter tekst, priser og produktdata ind i en fast HTML-ramme. Fejlen betyder, at systemet ikke renser input godt nok, så en angriber kan smugle programkode ind i en skabelon og få den udført på serveren. Fordi angrebet kan udføres over internettet uden login og uden at en bruger skal klikke på noget, er sårbarheden vurderet til den højeste risikoscore, 10 ud af 10.

Sårbarheden rammer virksomheder, der driver webshop på Adobe Commerce, som er platformen bag mange danske e-handelsbutikker og som er bygget på Magento. Det gælder både virksomheder, der selv hoster løsningen, og de, der får den driftet af et bureau. Adobe har ikke offentliggjort konkrete versionsnumre i denne beskrivelse, så I bør tjekke Adobes officielle sikkerhedsbulletin for jeres installerede version og finde den rettede udgave, der matcher.

En angriber, der udnytter sårbarheden, kan køre vilkårlig kode på serveren med samme rettigheder som webshoppen selv. I praksis betyder det, at angriberen kan læse og ændre kundedata, betalingsoplysninger og lagerinformation, plante skadelig kode på hjemmesiden eller lukke butikken helt ned. For en dansk webshop kan det betyde tab af kundedata, GDPR-anmeldelse til Datatilsynet og driftstop i den periode, det tager at rense og genopbygge systemet.

CVSS-scoren er 10,0, den højest mulige. Angrebet kræver ingen login og ingen handling fra en bruger, det kan udføres direkte over internettet af en angriber, der ikke har haft adgang til systemet før. Fuld fortrolighed, integritet og tilgængelighed er i spil, det vil sige, at angriberen både kan læse, ændre og lægge systemet ned. Der er ikke oplyst, om sårbarheden allerede udnyttes aktivt, men kombinationen af høj score og let angrebsvej gør den attraktiv for angribere, så snart detaljerne er kendt.

Vurdér straks, om jeres webshop kører Adobe Commerce eller Magento Open Source, og handl derefter.

1. Find jeres nuværende version af Adobe Commerce eller Magento, og opdatér til den version, Adobe angiver som rettet i deres sikkerhedsbulletin for CVE-2026-75650.
2. Kan opdateringen ikke gennemføres med det samme, så begræns adgangen til administrationsgrænseflader og API-endepunkter via firewall eller IP-begrænsning, mens I planlægger opdateringen.
3. Gennemgå logfiler for usædvanlig aktivitet i skabelonsystemet og på administrationssider, især forsøg på at gemme eller ændre skabelonfiler.
4. Tag en frisk sikkerhedskopi af webshoppen, inklusive database, før og efter opdateringen, så I har et rent gendannelsespunkt.
5. Informér jeres hostingpartner eller bureau, hvis driften er outsourcet, og bed om skriftlig bekræftelse på, at opdateringen er gennemført.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, om systemet allerede er kompromitteret, eller hvis opdateringen kræver tilpasning af tilføjelser og temaer.