Peretas Eksploitasi Celah Kritis Adobe Commerce untuk Mengambil Alih Akun Pelanggan

Upaya eksploitasi terhadap kerentanan kritis pada Adobe Commerce dan Magento mulai terdeteksi dan berpotensi memungkinkan peretas mengambil alih akun pelanggan tanpa memerlukan kredensial maupun interaksi dari korban.

Kerentanan yang dilacak sebagai CVE-2026-71362 tersebut merupakan masalah incorrect authorization yang dapat dimanfaatkan untuk memperoleh akses lebih tinggi ke sumber daya sensitif. Celah ini termasuk dalam tujuh kerentanan yang diperbaiki Adobe melalui pembaruan keamanan Agustus 2026.

Meski Adobe menyatakan belum mengetahui adanya eksploitasi terhadap seluruh kerentanan yang diperbaiki dalam pembaruan tersebut, perusahaan keamanan e-commerce Sansec telah mendeteksi upaya serangan terhadap CVE-2026-71362 melalui sistem Web Application Firewall (WAF) miliknya.

Celah Memungkinkan Pengambilalihan Akun

Menurut analisis Sansec terhadap patch keamanan Adobe, eksploitasi CVE-2026-71362 tidak membutuhkan akun yang sudah ada, hak administrator, maupun interaksi dari pengguna.

Masalah tersebut ditemukan pada cara Magento menangani identitas pelanggan dalam sebuah sesi akun. Kondisi ini memungkinkan penyerang memanipulasi sesi sehingga berpindah ke akun pelanggan lain.

Jika berhasil dieksploitasi, penyerang dapat memperoleh akses ke akun korban beserta data pelanggan yang bersifat privat.

Risiko tersebut menjadi sangat serius bagi toko online yang menggunakan Adobe Commerce atau Magento karena sesi pelanggan umumnya berkaitan dengan berbagai informasi sensitif, termasuk detail akun dan data transaksi.

Tujuh Kerentanan Diperbaiki Adobe

CVE-2026-71362 merupakan salah satu dari tujuh kerentanan yang diperbaiki dalam pembaruan keamanan terbaru Adobe Commerce dan Magento.

Empat kerentanan lainnya dikategorikan memiliki tingkat keparahan tinggi, sementara dua lainnya berada pada tingkat medium dan rendah.

Berikut daftar kerentanan yang turut diperbaiki:

• CVE-2026-48414 (CVSS 7.7, high): Kerentanan stored cross-site scripting yang berpotensi memungkinkan eksekusi kode arbitrer. Eksploitasi membutuhkan autentikasi dan hak administrator.
• CVE-2026-48413 (CVSS 8.7, high): Kerentanan stored cross-site scripting yang dapat menyebabkan eksekusi kode arbitrer. Eksploitasi membutuhkan autentikasi, tetapi tidak memerlukan hak administrator.
• CVE-2026-48415 (CVSS 7.6, high): Kerentanan incorrect authorization pada Adobe Commerce B2B yang dapat memungkinkan penyerang melewati fitur keamanan. Eksploitasi membutuhkan autentikasi tanpa memerlukan hak administrator.
• CVE-2026-48416 (CVSS 7.5, high): Kerentanan incorrect authorization yang dapat memungkinkan security feature bypass. Celah ini dapat dieksploitasi tanpa autentikasi maupun hak administrator.
• CVE-2026-48411 (CVSS 6.5, medium): Kerentanan incorrect authorization yang dapat menyebabkan security feature bypass. Eksploitasi membutuhkan autentikasi dan hak administrator.
• CVE-2026-48412 (CVSS 2.7, low): Kerentanan incorrect authorization yang dapat menyebabkan privilege escalation. Eksploitasi membutuhkan autentikasi dan hak administrator.

Dari seluruh celah tersebut, CVE-2026-71362 menjadi perhatian khusus karena dapat digunakan untuk mengambil alih sesi pelanggan tanpa memerlukan akun maupun interaksi korban.

Administrator Diminta Segera Memasang Patch

Administrator website yang menjalankan Adobe Commerce, Adobe Commerce B2B, maupun Magento pada release line yang masih didukung disarankan segera memasang pembaruan keamanan Agustus 2026.

Pembaruan tersebut menggunakan mekanisme patch terpisah, bukan berupa security release baru atau paket Composer yang telah diperbarui.

Sebelum memasang patch, administrator harus memastikan sistem telah menjalankan versi *-p terbaru yang tersedia pada release branch masing-masing. Setelah itu, patch terpisah yang sesuai dengan versi tersebut dapat diterapkan.

Langkah ini penting karena eksploitasi CVE-2026-71362 telah mulai terdeteksi. Menunda pemasangan patch dapat memberikan kesempatan bagi penyerang untuk mengeksploitasi kelemahan pada sistem e-commerce yang belum diperbarui.

Bagi pemilik toko online, risiko pengambilalihan akun pelanggan juga tidak hanya berkaitan dengan akses ke satu akun. Jika penyerang berhasil memperoleh sesi pelanggan, informasi pribadi dan data yang terkait dengan aktivitas belanja korban berpotensi ikut terekspos.

Karena itu, administrator Adobe Commerce dan Magento sebaiknya memprioritaskan pembaruan keamanan terbaru, terutama untuk sistem yang dapat diakses langsung dari internet.

Sumber: Sansec — Adobe Commerce Account Takeover – APSB26-92