En bref
- Le fait. Le 13 octobre 2026, Adobe a publié le bulletin APSB26-153, qui corrige onze failles dans Adobe Commerce, Adobe Commerce B2B et Magento Open Source. Cinq sont critiques, dont une injection de modèle notée 10 sur 10 et exploitable sans authentification. Adobe indique n'avoir connaissance d'aucune exploitation et classe ce bulletin en priorité 2. Le CERT-FR a publié l'avis CERTFR-2026-AVI-1301 le 14 octobre. Source : bulletin Adobe APSB26-153.
- Êtes-vous concerné ? Oui, si votre boutique en ligne fonctionne avec Magento Open Source ou Adobe Commerce, en hébergement propre ou chez un intégrateur.
- Quoi faire :
- demandez à votre intégrateur ou à votre hébergeur la version exacte de la boutique ;
- faites appliquer la version d'octobre 2026 de votre branche, après un test sur un environnement de préproduction si vous en disposez ;
- vérifiez au passage que le correctif à chaud du bulletin APSB26-146, publié en septembre, a bien été appliqué.
- Urgence : critique, selon Adobe (sévérité des failles) ; Adobe classe la mise à jour en priorité 2 sur son échelle et recommande de passer à la version la plus récente.
Détail technique
Versions (bulletin Adobe) :
| Produit | Versions concernées | Versions corrigées |
|---|---|---|
| Adobe Commerce | 2.4.4 à 2.4.9, versions -2026-sep et antérieures | 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct, 2.4.6-2026-oct, 2.4.5-2026-oct, 2.4.4-2026-oct ; 2.4.10-alpha1 |
| Adobe Commerce B2B | 1.5.3, 1.5.2, 1.4.2, 1.3.4 et 1.3.3, versions -2026-sep et antérieures | 1.5.3-2026-oct, 1.5.2-2026-oct, 1.4.2-2026-oct, 1.3.4-2026-oct, 1.3.3-2026-oct ; 1.5.4-alpha1 |
| Magento Open Source | 2.4.6 à 2.4.9, versions -2026-sep et antérieures | 2.4.9-2026-oct, 2.4.8-2026-oct ; 2.4.10-alpha1 |
Pour Magento Open Source 2.4.7 et 2.4.6, le tableau des versions corrigées du bulletin ne mentionne pas de version dédiée : se référer au bulletin et à son intégrateur pour le chemin de mise à jour.
Failles critiques :
- CVE-2026-103849 (CVSS 10.0) : injection dans le moteur de modèles, pouvant mener à une exécution de code, sans authentification ;
- CVE-2026-92909 (CVSS 9.8, Commerce B2B) : défaut d'autorisation pouvant mener à une exécution de code, sans authentification ;
- CVE-2026-91013 et CVE-2026-100133 (CVSS 9.3) : XSS stockées pouvant mener à une élévation de privilèges, sans authentification mais avec une action d'un utilisateur ;
- CVE-2026-92464 (CVSS 9.1) : validation d'entrée insuffisante pouvant mener à une exécution de code, avec un compte à privilèges élevés.
Autres failles : CVE-2026-92911, CVE-2026-95631, CVE-2026-92908, CVE-2026-92922 et CVE-2026-92910 (haute, CVSS 7.2 à 8.7), CVE-2026-95630 (moyenne). Les impacts décrits par Adobe sont l'exécution de code, l'élévation de privilèges, l'écriture de fichiers et le contournement de fonctions de sécurité.
Bulletin précédent. Adobe rappelle d'appliquer également le correctif à chaud du bulletin APSB26-146 du 7 septembre 2026 (CVE-2026-75650, critique). Pour cette faille, Adobe indiquait avoir connaissance d'une exploitation.
KEV. Non : aucune des CVE de ce bulletin ne figure au catalogue KEV de la CISA (version du 21 octobre 2026).
Vérifier sa version. Dans l'administration Magento, la version s'affiche en bas de chaque page. En ligne de commande, sur le serveur : bin/magento --version.