Adobe Security Bulletin APSB26-146 — voor webshops op Magento Open Source of Adobe Commerce
KMO-IMPACT: DRINGEND
Draait uw webshop op Magento of Adobe Commerce? Installeer vandaag hotfix VULN-39341 en roteer daarna sleutels én betalingscredentials. Adobe bevestigt actief misbruik van CVE-2026-75650 (StyleSmuggler): een aanvaller kan zonder login willekeurige code op de shop uitvoeren. De Amerikaanse cybersecuritydienst CISA zette de fout op de KEV-lijst van actief misbruikte lekken, met federale patchdeadline vrijdag 11 september 2026.
Wat er speelt
Adobe publiceerde op 7 september 2026 bulletin APSB26-146. Getroffen zijn Adobe Commerce 2.4.4 tot en met 2.4.9 (augustus 2026-releases en eerder in die takken), Adobe Commerce B2B 1.3.3 tot 1.5.3, en Magento Open Source 2.4.6 tot 2.4.9. De fout laat een niet-ingelogde aanvaller code uitvoeren via de template-laag van de shop.
Beveiligingsonderzoekers registreerden misbruik sinds 4 september 2026 — drie dagen vóór de hotfix. Adobe bevestigde later dat handelaars in het wild werden aangevallen. Patchen blokkeert nieuwe aanvallen; een backdoor die vóór de patch werd geplaatst blijft staan tot u die opspoort en opruimt.
Wat u nu moet doen
Download de juiste VULN-39341-patch voor uw versie via de Adobe Commerce Knowledge Base (artikel APSB26-146) en pas die toe volgens de Adobe-instructies. Controleer daarna of de hotfix actief is (Quality Patches Tool: statusregel met 39341 op Applied).
Roteer daarna niet alleen de encryptiesleutel, maar alle credentials die daarmee samenhangen: adminwachtwoorden, REST/SOAP/GraphQL-integratietokens, OAuth-secrets, payment-gateway API-keys bij de provider zelf (niet enkel in Commerce), database-, SSH- en deploy-keys, en API-keys van verzending/tax/plugins. Zet tijdens die rotatie maintenance mode aan en schakel cron tijdelijk uit. Spoel de cache en zet cron weer aan.
Was de shop online vóór 7 september zonder hotfix: laat forensisch controleren op verdachte PHP onder pub/media, vreemde cronjobs en onverwachte processen. Patch alleen is geen bewijs dat u schoon bent.
Wat betekent dit voor uw onderneming?
Voor wie: Vlaamse webshops en B2B-shops op Magento Open Source of Adobe Commerce (on-prem of cloud) in de getroffen versies.
Vanaf wanneer: meteen — misbruik sinds 4 september; hotfix sinds 7 september; CISA-KEV-deadline 11 september 2026.
Financiële impact: geen vast bedrag in de bron; risico zit in gestolen betaal- en klantgegevens, downtime en herstelkosten.
Wat moet u doen: hotfix VULN-39341 installeren, alle gerelateerde credentials roteren, pre-patch compromise checken, MSP/developer schriftelijk laten bevestigen.
Deadline: vandaag (vrijdag 11 september 2026) als hoogste prioriteit.
Nog niet duidelijk: of uw specifieke shop al gecompromitteerd is vóór de patch (alleen forensisch vast te stellen).
Bewaar de patchdatum, versienummer en de bevestiging van credentialrotatie in uw IT-dossier. Zonder die check weet u niet of klant- en betaaldata vandaag nog veilig zijn.
