Le 13 octobre 2026, Adobe a publié APSB26-153, le correctif de sécurité mensuel d’octobre pour Adobe Commerce et Magento Open Source. Il corrige 11 vulnérabilités, dont une notée 10.0 sur 10 — le score maximal — exploitable sans authentification. Et il marque un tournant pour une partie des marchands : Magento Open Source 2.4.6 ne reçoit plus de correctif, alors que cette version est bien listée parmi les versions vulnérables (source : Adobe, bulletin APSB26-153 et note KB ka-49323).
Adobe indique n’avoir connaissance d’aucune exploitation de ces failles à ce jour et classe la mise à jour en priorité 2. Ce n’est pas une raison d’attendre : le mois dernier, StyleSmuggler a été exploitée moins de 24 heures après sa divulgation.
⚠ Magento Open Source 2.4.6 : vulnérable et sans correctif
Le bulletin liste Magento Open Source 2.4.6-2026-sep et antérieures comme affectées, mais la liste des versions corrigées pour Open Source s’arrête à 2.4.7. La note KB d’Adobe le confirme : les marchands Open Source ne peuvent télécharger les patchs que pour la version 2.4.7 ou supérieure. Seul Adobe Commerce (licence payante) reçoit encore des correctifs pour 2.4.6, 2.4.5 et 2.4.4. Si votre boutique tourne en Open Source 2.4.6, la seule voie de correction est désormais la montée de version.
Les versions concernées
Toutes les lignes supportées sont touchées jusqu’au niveau de patch de septembre inclus. Voici les versions vulnérables et les versions corrigées, telles que publiées par Adobe :
Adobe Commerce
2.4.9 / 2.4.8 / 2.4.7 / 2.4.6 / 2.4.5 / 2.4.4 — niveau -2026-sep et antérieurs
Adobe Commerce B2B
1.5.3 / 1.5.2 / 1.4.2 / 1.3.4 / 1.3.3 — niveau -2026-sep et antérieurs
Magento Open Source
2.4.9 / 2.4.8 / 2.4.7 / 2.4.6 — niveau -2026-sep et antérieurs
Adobe Commerce
2.4.10-alpha1, puis 2.4.9 à 2.4.4 au niveau -2026-oct
Adobe Commerce B2B
1.5.4-alpha1, puis 1.5.3 à 1.3.3 au niveau -2026-oct
Magento Open Source
2.4.10-alpha1, 2.4.9 / 2.4.8 / 2.4.7 au niveau -2026-oct — pas de 2.4.6
Source : Adobe Security Bulletin APSB26-153, publié le 13 octobre 2026. 2.4.10-alpha1 est la première alpha de la future ligne 2.4.10 — pas une version de production.
Les 11 failles corrigées
Cinq failles sont classées critiques, dont quatre exploitables sans authentification. Trois concernent uniquement le module B2B d’Adobe Commerce.
| CVE | Type | Impact | Sans auth. | CVSS |
|---|---|---|---|---|
| CVE-2026-103849 | Moteur de template (CWE-1336) | Exécution de code | Oui | 10.0 |
| CVE-2026-92909 | Autorisation incorrecte — B2B | Exécution de code | Oui | 9.8 |
| CVE-2026-91013 | XSS stocké | Élévation de privilèges | Oui | 9.3 |
| CVE-2026-100133 | XSS stocké | Élévation de privilèges | Oui | 9.3 |
| CVE-2026-92464 | Validation d’entrée | Exécution de code | Non (admin) | 9.1 |
| CVE-2026-92911 | XSS stocké | Exécution de code | Non | 8.7 |
| CVE-2026-95631 | Validation d’entrée | Écriture de fichiers | Non | 8.7 |
| CVE-2026-92908 | Autorisation incorrecte — B2B | Contournement de sécurité | Non | 8.3 |
| CVE-2026-92922 | XSS stocké | Élévation de privilèges | Non | 8.1 |
| CVE-2026-92910 | Autorisation incorrecte — B2B | Contournement de sécurité | Oui | 7.2 |
| CVE-2026-95630 | Validation d’entrée | Contournement de sécurité | Non | 4.3 |
Rouge : critique · Orange : haute · Gris : moyenne. Source : Adobe Security Bulletin APSB26-153.
La faille la plus grave, CVE-2026-103849, relève de la même catégorie que StyleSmuggler (CWE-1336, neutralisation incorrecte dans un moteur de template) et porte le même score de 10.0. Adobe ne dit pas s’il s’agit d’une variante ou d’un contournement du correctif de septembre : on ne peut donc pas l’affirmer. Ce qui est établi, c’est qu’elle permet une exécution de code à distance sans aucun compte ni interaction d’un utilisateur — le scénario le plus défavorable qui soit pour une boutique en ligne.
⚠ Le hotfix StyleSmuggler reste obligatoire
Adobe le rappelle dans le bulletin : en plus d’APSB26-153, il faut appliquer le hotfix de CVE-2026-75650 (StyleSmuggler, bulletin APSB26-146 du 7 septembre). Si ce n’est pas encore fait sur votre boutique, c’est la priorité absolue : cette faille-là est activement exploitée.
Comment appliquer le patch d’octobre
Comme les mois précédents, Adobe livre ces correctifs uniquement sous forme de patchs isolés, sans paquet Composer. Les règles sont inchangées : être au dernier niveau -p de sa ligne de version, puis empiler tous les patchs mensuels dans l’ordre chronologique, composant par composant (CE, puis EE, puis B2B pour chaque mois).
Hotfix StyleSmuggler (APSB26-146)
Si pas déjà appliqué. Non inclus dans les mensuels.
Dernier niveau -p de votre ligne
Prérequis indispensable : les patchs isolés ne s’appliquent que sur ce socle.
Tous les patchs mensuels précédents, dans l’ordre
Juillet (qui installe l’outil de vérification CVT), août, septembre.
Patchs d’octobre (APSB26-153)
CE → EE → B2B selon votre édition. Archives disponibles sur repo.magento.com/patch/ : 2-4-9-oct-2026.zip, 2-4-8-p5-oct-2026.zip, 2-4-7-p10-oct-2026.zip, et pour Adobe Commerce uniquement 2-4-6-p15, 2-4-5-p17 et 2-4-4-p18.
Source : Adobe Experience League, note KB ka-49323 (13 octobre 2026).
Vérifier que la boutique est réellement protégée
Un patch oublié dans la chaîne ne produit aucune erreur visible : la boutique continue de fonctionner, simplement vulnérable. D’où l’intérêt du Commerce Version Tool (CVT), livré avec le patch isolé de juillet, qui donne un statut par CVE (PROTECTED / VULNERABLE / UNKNOWN).
php vendor/bin/patch-status –version
php vendor/bin/patch-status
La première commande vérifie la version de l’outil, la seconde liste l’état de protection CVE par CVE. À lancer depuis la racine du projet.
Deux recommandations d’Adobe complètent la procédure : sur Adobe Commerce on Cloud, ne pas appliquer un patch isolé déjà posé par le mécanisme cloud-patches (l’installation échouerait) ; et faire tourner les clés de chiffrement et les identifiants associés. Adobe propose aussi depuis peu un outil d’automatisation de l’application des patchs (« Adobe Commerce Patching Automation »).
Open Source 2.4.6 : que faire maintenant ?
Le support de la ligne 2.4.6 a pris fin en août 2026. Avec APSB26-153, la conséquence devient concrète : une boutique Magento Open Source 2.4.6 exposée à une faille notée 10.0 n’a plus de correctif officiel à appliquer. Rester en l’état revient à accepter que chaque bulletin mensuel ajoute des vulnérabilités connues et publiques à votre boutique.
La seule sortie propre est la montée de version vers 2.4.7 au minimum — idéalement 2.4.8 ou 2.4.9 pour gagner de la marge sur le calendrier de support. Ce n’est pas une opération à improviser en urgence : compatibilité PHP et moteur de recherche, modules tiers, thème, tests. Mais c’est une opération qui se planifie en quelques semaines, pas en quelques mois. En attendant, un pare-feu applicatif (WAF) peut réduire l’exposition, sans remplacer le correctif.
Vous n’êtes pas sûr de savoir le faire ? C’est exactement notre métier
Appliquer un patch mensuel dans le bon ordre, vérifier le résultat CVE par CVE, faire tourner les clés, ou sortir une boutique de 2.4.6 avant qu’un nouveau bulletin ne s’ajoute à la liste : ce sont des opérations que nous réalisons régulièrement sur les boutiques Magento que nous accompagnons, en environnement de test d’abord, puis en production.
FAQ
Je suis en Magento Open Source 2.4.6 : puis-je récupérer le patch Adobe Commerce 2.4.6 ?
Non. Selon la note KB d’Adobe, les marchands Open Source ne peuvent télécharger les patchs que pour la version 2.4.7 ou supérieure. Les correctifs 2.4.6, 2.4.5 et 2.4.4 sont réservés aux clients Adobe Commerce sous licence.
Aucune exploitation n’est connue : est-ce vraiment urgent ?
Oui. Une faille 10.0 exploitable sans authentification est exactement le profil que les attaquants recherchent, et la publication du correctif leur permet de l’étudier. StyleSmuggler, de la même catégorie, a été exploitée en moins de 24 heures.
Faut-il installer 2.4.10-alpha1 ?
Non, pas en production. C’est la première version alpha de la future ligne 2.4.10, destinée aux tests. Les boutiques en production appliquent le patch d’octobre sur leur ligne actuelle.
Comment être prévenu des prochains bulletins ?
Adobe publie désormais ses bulletins Commerce sur son Trust Center, et propose une inscription aux notifications de sécurité par e-mail sur adobe.com/go/security-notify.
On applique le patch d’octobre — ou on vous sort de 2.4.6
Hotfix StyleSmuggler, empilement des correctifs dans le bon ordre, vérification CVE par CVE, rotation des clés, ou montée de version planifiée : on prend en charge toute la chaîne, en test puis en production.
Sources : Adobe Security Bulletin APSB26-153 (13 octobre 2026) ; note Adobe Experience League KB ka-49323 (13 octobre 2026).