Дірка в усіх тих інтернет-крамницях уже має латку. Вона запізнилася на три дні.

Adobe опублікувала виправлення 7 вересня, поза звичним графіком, у вигляді бюлетеня APSB26-146. Уразливість, про яку ми писали вчора, тепер має номер CVE-2026-75650 і оцінку 10,0 з 10, тобто максимум шкали. Вона зачіпає Adobe Commerce і Magento Open Source версій від 2.4.4 до 2.4.9, а також Commerce B2B від 1.3.3 до 1.5.3, тобто дуже багато незалежних інтернет-крамниць.

Уся історія саме в цих трьох днях. Використання почалося 4 вересня о 22:20 UTC. Sansec, нідерландська компанія, яка вирішила опублікувати все відразу, а не чекати, побачила крамницю, захоплену менш ніж за 50 хвилин після першого попередження, а її пастки зафіксували до 7 вересня дванадцять спроб з адрес у Китаї та Румунії. Нападники залишали бекдор, написаний на Rust, і веб-оболонки на PHP. Вказівки Adobe для продавців не завершуються встановленням латки: потрібно застосувати хотфікс VULN-39341, а потім змінити ключі шифрування, паролі адміністратора, токени API, дані платіжного шлюзу, паролі бази даних і ключі SSH. Підсумок Sansec варто навести дослівно. "Латка закриває дірку, але не очищає крамницю, яку вже вдарили."

У перекладі для покупця: маленька крамниця, де ви замовляли на вихідних, може бути залатана й почищена, може бути залатана й досі відкрита для сторонніх, і зі сторінки перед вами цього не видно. Тож порада з учорашнього дня діє далі, а не втрачає силу. У незалежних крамницях платіть через PayPal, Apple Pay чи Google Pay, бо тоді крамниця взагалі не бачить номера вашої картки. Відмовляйтеся зберігати картку на наступний раз. І читайте окремі рядки виписки, а не лише залишок, бо скопійовану картку спершу перевіряють маленькою сумою, а вже потім пробують велику.

Другою дією зламаної крамниці зазвичай стає лист про ваше замовлення, який хоче, щоб ви щось відкрили. Перевірка безпеки Tendvane показує неочікувані програми в автозапуску та розширення браузера, тобто саме те, що ви захотіли б оглянути, якби такий лист колись отримав зайвий клік.