Abbiamo monitorato una vulnerabilità RCE (Remote Code Execution) critica e non autenticata (tracciata con il codice CVE-2026-75650 e denominata StyleSmuggler). L'Akamai Security Intelligence Group può confermare i tentativi di sfruttamento attivo per questa vulnerabilità.
La vulnerabilità ha un punteggio CVSS massimo di 10 e non richiede autenticazione né interazione dell'utente per il suo sfruttamento.
I criminali sfruttano il codice PHP dannoso nella catena di elaborazione dei modelli di Magento tramite intestazioni e parametri HTTP, eseguendolo successivamente durante il rendering automatizzato delle e-mail.
In base alla nostra indagine, le protezioni dagli attacchi CMD Injection offerti da Akamai Adaptive Security Engine (ASE) bloccano già in modo nativo i principali vettori di attacco GraphQL basati su intestazioni e parametri senza la necessità di implementare nuove regole.
Continuiamo a verificare la copertura del rilevamento per tutti i vettori di sfruttamento osservati per questa vulnerabilità.
I clienti interessati devono comunque applicare la correzione rapida ufficiale di Adobe (APSB26-146/VULN-39341) non appena possibile.
La CVE-2026-75650 è una vulnerabilità RCE (Remote Code Execution) critica, che interessa Adobe Commerce, Adobe Commerce B2B e Magento Open Source, consentendo ad un criminale non autenticato di inserire il codice PHP nel motore dei modelli della piattaforma e, quindi, di eseguirlo sul server.
Questa vulnerabilità è stata sfruttata attivamente in rete fin dall'inizio di settembre 2026, richiedendo ad Adobe di rilasciare un aggiornamento di emergenza sulla sicurezza out-of-band.
Questo attacco viene eseguito in quattro fasi:
Un criminale invia una richiesta all'endpoint GraphQL di Magento nascondendo un codice PHP dannoso in un'intestazione o un parametro HTTP.
Magento registra il valore non riconosciuto, memorizzando involontariamente il codice PHP del criminale in un file di registro lato server.
Una richiesta di follow-up attiva il motore dei modelli di Magento, solitamente attraverso la generazione di un'e-mail transazionale standard.
Durante il rendering, il motore dei modelli carica il file di registro compromesso ed esegue il codice PHP incorporato, consentendo al criminale di avviare una RCE (Remote Code Execution).
Poiché lo sfruttamento non richiede autenticazione né interazione da parte dell'utente, qualsiasi istanza esposta e priva di patch è a rischio.
La vulnerabilità è presente nelle versioni open source di Adobe Commerce e Magento dalla 2.4.4 alla 2.4.9 e di Adobe Commerce B2B dalla 1.3.3 alla 1.5.3. Gli utenti devono applicare gli aggiornamenti di sicurezza forniti da Adobe in APSB26-146 (correzione rapida VULN-39341) per risolvere questa vulnerabilità.
In base alla nostra indagine, le protezioni dagli attacchi CMD Injection offerti dal motore di sicurezza adattiva di Akamai App & API Protectorbloccano in modo nativo i principali vettori di attacco GraphQL basati su intestazioni e parametrisenza richiedere nuove regole. Le regole ASE esistenti già rilevano e bloccano i modelli PHP/CMDi (Command injection) utilizzati nei tentativi di sfruttamento della vulnerabilità StyleSmuggler che abbiamo analizzato. Non è stata osservata alcuna PoC (Proof-of-Concept) pubblica e utilizzata in modo illecito per questa vulnerabilità alla data di stesura del presente articolo.
Continuiamo a verificare la copertura del rilevamento per tutti i vettori di sfruttamento osservati ed emergenti per questa vulnerabilità. Sebbene le protezioni del WAF (Web Application Firewall) di Akamai riescano a identificare e bloccare gli schemi di exploit noti, la difesa più efficace consiste comunque nell'applicare tempestivamente le patch fornite dal vendor. Data la gravità del problema, si consiglia di applicare gli aggiornamenti il prima possibile.
L'Akamai Security Intelligence Group continuerà a monitorare, segnalare e creare mitigazioni per minacce come queste per i clienti dell'azienda e per la più vasta comunità della sicurezza. Per aggiornamenti sulle ultime novità dell'Akamai Security Intelligence Group, puoi consultare la nostra pagina relativa ai lavori di ricerca e seguirci sui social media.
©2026 Akamai Technologies
