CVE-2026-71362 en Adobe Commerce (incluye Magento) permite a atacantes cambiar la sesión de un cliente y acceder a su cuenta, según análisis de la firma de seguridad eCommerce Sansec. Adobe incluyó la corrección en su actualización de seguridad de agosto de 2026 para las líneas soportadas de Commerce, Commerce B2B y Magento.
Por qué importa: La vulnerabilidad permite asumir la identidad de otro cliente sin autenticación ni privilegios previos, lo que puede exponer datos privados de compradores y facilitar fraudes en tiendas en línea.
Lo esencial
- CVE-2026-71362 es un fallo de autorización que permite cambiar la sesión de un cliente a otra cuenta.
- Sansec detectó intentos de explotación y su WAF Shield bloquea estas peticiones.
- Adobe publicó la actualización de seguridad de agosto de 2026 y distribuye parches aislados.
Cambio de sesión en Magento permite acceder a cuentas
Sansec atribuye la raíz del problema al manejo incorrecto de la identidad del cliente dentro de la sesión de cuenta en Magento. Tras revisar el parche de Adobe, los investigadores concluyeron que un atacante puede sustituir la sesión de un cliente por la de otra cuenta y así ver datos privados del usuario afectado.
La firma describe el fallo como una vulnerabilidad de autorización incorrecta que no requiere una cuenta existente, privilegios de administrador ni interacción del usuario para su explotación.
Sansec detecta y bloquea intentos
Sansec afirma que su Web Application Firewall (WAF) llamado Shield ya está bloqueando intentos de explotación de CVE-2026-71362. Sansec es una compañía de seguridad eCommerce que opera Shield y reportó actividad que coincide con el fallo corregido.
Adobe, por su parte, indicó en su aviso de seguridad que no tiene constancia de explotación en estado salvaje de las fallas corregidas. Esa afirmación coexiste con los informes de detección de Sansec, que documentan intentos que su WAF ha mitigado.
