CVE-2026-75650 в Magento: RCE через письма о неудачной оплате

В Adobe Commerce и Magento Open Source обнаружена уязвимость CVE-2026-75650 с оценкой CVSS 10.0, позволяющая неаутентифицированный удалённый запуск кода через шаблон письма о неудачном платеже. Adobe выпустила экстренный хотфикс VULN-39341 7 сентября 2026 года, CISA внесла уязвимость в каталог эксплуатируемых 8 сентября.

• Уязвимость затрагивает Adobe Commerce 2.4.4–2.4.9 и Magento Open Source 2.4.6–2.4.9
• Атака не требует аутентификации и действий пользователя, CVSS 10.0
• Эксплуатация началась 4 сентября, хотфикс вышел 7 сентября
• Злоумышленники ставили Rust-бэкдор под видом системных процессов и веб-шеллы