Le 24 septembre 2026, le Centre canadien pour la cybersécurité a signalé l’ajout de CVE-2026-71362 au catalogue KEV de CISA. La faille d’autorisation incorrecte concerne Adobe Commerce et Magento Open Source. L’avis APSB26-92 traite aussi de correctifs pour Adobe Commerce B2B, mais cela ne signifie pas que ce CVE s’applique à B2B. Sansec a rapporté des tentatives après la publication du correctif; l’inscription KEV confirme ensuite que la vulnérabilité a été exploitée.
Pour une boutique, le risque ne se résume pas à la page d'accueil : les comptes, les commandes et les fonctions d'administration peuvent contenir des données et des accès sensibles. Le bulletin Adobe reste la référence pour les versions et correctifs précis.
Ce que corrige Adobe
Le bulletin APSB26-92 décrit CVE-2026-71362 comme une vulnérabilité d’autorisation incorrecte (CWE-863), notée CVSS 9,1, qui peut permettre une élévation de privilèges sans authentification ni interaction utilisateur. Adobe a indiqué lors de la publication du bulletin, le 11 août, ne pas avoir connaissance d’exploitation dans la nature pour les failles corrigées. Sansec a ensuite signalé que son pare-feu bloquait des tentatives visant cette faille; BleepingComputer et SecurityWeek ont rapporté ces observations. Pour ce CVE, les sources citent Adobe Commerce et Magento Open Source; les autres produits du bulletin ont leurs propres vulnérabilités.
Une boutique non corrigée n'est pas automatiquement compromise, mais elle doit être traitée comme prioritaire lorsque son interface est exposée et que la version figure dans le bulletin.
Le signal KEV
L’avis canadien indique que des rapports publics signalaient une exploitation, puis que CISA a ajouté le CVE au KEV le 24 septembre. Les sources citées ne donnent pas une liste complète des boutiques touchées; il faut donc distinguer l’exploitation confirmée de l’impact sur votre installation.
Cette distinction évite de rassurer à tort une boutique vulnérable tout en évitant d'annoncer une prise de compte client sans preuve.
Vérifier la boutique
Inventoriez la version de Commerce, B2B ou Magento, les extensions installées et l'exposition des interfaces d'administration. Appliquez le correctif APSB26-92 correspondant au CVE, puis installez également la mise à jour de sécurité la plus récente. Le bulletin APSB26-153 du 13 octobre couvre les versions Commerce et Magento récentes; vérifiez la version et les instructions Adobe propres à votre branche, ainsi que le hotfix CVE-2026-75650 mentionné par Adobe. Contrôlez que les correctifs ont pris effet sur tous les nœuds.
Conservez les journaux web et d'administration. Recherchez des créations de comptes, changements de privilèges, modifications de configuration, commandes inhabituelles et connexions depuis des emplacements inattendus.
Comptes et secrets
Si une activité suspecte est confirmée ou plausible, réinitialisez les comptes administrateurs et faites tourner les clés d'intégration, secrets de paiement ou accès d'hébergement selon le périmètre. Vérifiez aussi les comptes clients sensibles sans forcer une réinitialisation globale sans justification.
Les équipes doivent traiter avec prudence toute demande urgente de paiement ou de réinitialisation reçue après la correction : une boutique compromise peut servir à personnaliser un phishing. Pour formaliser la gestion des comptes et des secrets, consultez le guide de politique de mots de passe pour PME.
Le lien avec Soclyde
Soclyde ne corrige pas Adobe Commerce et ne peut pas vérifier les commandes ou les comptes d'une boutique. Il peut aider à organiser les accès administratifs et les secrets d'intégration après une rotation, en les générant de façon unique et en les conservant dans un coffre chiffré local-first.
Cette approche réduit les copies de credentials dans les échanges de crise, sans remplacer l'audit applicatif ou les contrôles du prestataire de paiement.
À retenir
CVE-2026-71362 a été exploitée et touche certaines versions d'Adobe Commerce et Magento Open Source. Vérifiez l'inventaire, appliquez APSB26-92, examinez les comptes et les journaux, puis faites tourner les secrets si nécessaire. Consultez le guide du générateur de mots de passe sécurisé ou contactez Soclyde.
