Il bug di Magento diventa un varco per backdoor persistenti
Adobe ha corretto CVE-2026-75650 in Adobe Commerce, Adobe Commerce B2B e Magento Open Source, ma il punto critico è che lo sfruttamento attivo continua e viene usato per lasciare backdoor persistenti. Adobe ha pubblicato l'hotfix VULN-39341 e CSIRT Italia e l'NCSC olandese hanno confermato che la falla è già in rete.
Il difetto sta nel rendering dei template: input appositamente costruiti vengono trattati come parte del normale flusso di email transazionali e finiscono per eseguire codice invece di testo. In pratica, la strada usata per generare una mail diventa la strada per far girare codice sul server, con il risultato che un accesso iniziale può trasformarsi in presenza stabile e in esposizione di credenziali e chiavi di cifratura.
Per chi gestisce queste piattaforme, la conseguenza è chiara: il solo patching non basta se l'istanza è già stata toccata. Restano da considerare compromessi i segreti già letti attraverso le chiavi applicative, e la superficie di rischio si estende anche oltre il bug corretto.
CVSS 10 CRITICAL: adobe Commerce is affected by an Improper Neutralization of Special Elements Used in a Template Engine vulnerability that could result in arbitrary code execution in the context of the current user. EPSS 4% (90º percentile).
Adobe fixes critical Magento zero-day exploited to backdoor servers
Adobe has released an emergency fix for CVE-2026-75650, an actively exploited max-severity zero-day vulnerability dubbed StyleSmuggler, that impacts multiple versions of Magento and Adobe Commerce.