Na terça-feira, 10 de novembro, a Adobe publica o pacote mensal de segurança para o Magento, seguindo a cadência da segunda terça-feira de cada mês. Em qualquer outro mês, seria rotina. Em novembro, o patch de novembro no Magento chega dezessete dias antes da Black Friday, quando a maioria das lojas já está com o código congelado. E chega acompanhado de uma pendência que muitas operações ainda não resolveram: o hotfix da CVE-2026-75650.
Este artigo foi escrito para ajudar a decidir o que fazer com os dois. Ele parte do critério que propusemos em outubro e o aplica ao cenário de novembro, em que cada mudança na loja precisa justificar o risco de entrar a poucos dias do maior evento do ano.
Principais Pontos do Artigo
- O boletim regular de novembro está previsto para 10 de novembro, dentro da janela de congelamento da maioria das lojas.
- O boletim de outubro, APSB26-153, reforçou que o hotfix da CVE-2026-75650 precisa ser aplicado à parte, além das correções mensais.
- Lojas que aplicaram só os pacotes regulares podem continuar expostas a uma falha que foi explorada ativamente em setembro.
- O critério de três faixas define o que rompe o congelamento e o que espera a Cyber Monday.
- Há indicações de mercado de que o pacote de novembro pode ser maior que os anteriores, o que reforça a necessidade de ler o boletim com método.
A pendência que vem de setembro
Em 7 de setembro, a Adobe publicou fora do calendário o boletim APSB26-146, que corrige a CVE-2026-75650, uma falha crítica explorável sem autenticação e com exploração ativa confirmada. Tratamos o caso em detalhe no artigo sobre o que fazer além de aplicar o patch em um zero-day.
O ponto que merece atenção agora está no boletim de outubro. O APSB26-153, publicado em 13 de outubro com prioridade 2, corrige falhas classificadas como críticas, altas e médias, que podem levar a execução de código, escalada de privilégios, escrita arbitrária de arquivos e desvio de recursos de segurança. A Adobe informa não ter conhecimento de exploração ativa dessas falhas. Mas o próprio boletim orienta a aplicar o hotfix da CVE-2026-75650 além das correções de outubro. Em outras palavras: as correções mensais não incluem o hotfix de setembro.
Isso cria uma armadilha para quem confia apenas no calendário. Uma loja que aplicou os pacotes regulares de setembro e outubro, mas não o hotfix, pode estar em dia com o ritual mensal e ainda exposta à falha mais grave do ano.
Como verificar antes do dia 10
A primeira tarefa de novembro não depende do boletim novo. É confirmar o estado atual. Recomendamos três verificações, todas sem alteração na loja:
- Relatório de patches: executar a ferramenta oficial de verificação da Adobe, que lista patches aplicados, patches faltantes e vulnerabilidades cobertas. O passo a passo está no guia sobre como verificar os patches de segurança no Magento.
- Hotfix da CVE-2026-75650: confirmar especificamente se o hotfix está aplicado em produção e em homologação, e se as medidas complementares recomendadas pela Adobe, como a rotação de chaves e credenciais, foram executadas.
- Linha de versão: confirmar que a loja está na versão de segurança mais recente da sua linha. Como explicamos no artigo sobre o patch de segurança mensal do Magento, as correções isoladas pressupõem que a loja esteja atualizada dentro da linha.
Se alguma dessas verificações apontar pendência, ela tem prioridade sobre o boletim de novembro. Aplicar o hotfix de uma falha explorada ativamente se encaixa em qualquer critério de exceção ao congelamento.
Como ler o boletim de 10 de novembro
Quando o boletim sair, a leitura segue as mesmas quatro perguntas que propusemos no artigo sobre o patch de outubro e o congelamento:
- Qual é a gravidade? Críticas sobem automaticamente na fila.
- A falha exige autenticação? Falhas que qualquer visitante anônimo pode explorar são muito mais urgentes do que falhas que exigem acesso administrativo.
- Há exploração ativa confirmada? Esse é o gatilho para aplicação imediata, independentemente do calendário.
- Qual área é afetada? Vitrine e checkout expõem clientes e dados de pagamento. Painel administrativo exige acesso prévio, mas abre caminho para alterações silenciosas.
Há um elemento adicional neste mês. Análises publicadas por empresas do ecossistema indicam que a Adobe concentra pacotes mais amplos em alguns momentos do ano, e há expectativa de que o boletim de novembro seja maior que o de outubro. Isso não muda o método, mas muda o volume de teste. Um pacote com mais correções pede mais atenção às extensões e às customizações da loja antes de entrar em produção. Vamos confirmar o tamanho real quando o boletim for publicado.
As três faixas aplicadas a novembro
Com as quatro respostas, cada falha do boletim entra em uma de três faixas.
Faixa 1: aplicação imediata, mesmo durante o congelamento
Falhas críticas exploráveis sem autenticação ou com exploração ativa confirmada. Entram na loja em até 48 horas, com teste focado nos fluxos críticos em homologação, deploy em horário de baixo tráfego e plano de reversão pronto. O hotfix pendente da CVE-2026-75650 também está nesta faixa.
Faixa 2: avaliação caso a caso
Falhas críticas ou altas sem exploração ativa, ou que exigem algum nível de acesso. A dupla de aprovação definida para o congelamento, com um responsável pelo negócio e outro pela tecnologia, decide se o risco de aplicar agora é menor que o risco de esperar. Na dúvida, a recomendação é aplicar antes do dia 20 de novembro, deixando a última semana sem mudanças.
Faixa 3: aplicação depois da Cyber Monday
Falhas médias que exigem privilégio administrativo e não afetam a vitrine. Esperam o descongelamento, com data definida para a primeira semana de dezembro e registro da decisão. Enquanto isso, vale reforçar o controle de acesso ao painel: autenticação em dois fatores para todos os administradores e revisão dos usuários ativos.
O critério completo de exceção ao congelamento está no artigo sobre congelamento de código na Black Friday, e o calendário geral de preparação no nosso checklist Magento para a Black Friday.
Um roteiro para a semana de 10 a 13 de novembro
- Terça, 10: leitura do boletim, classificação de cada falha nas três faixas e comunicação ao responsável pelo negócio no mesmo dia.
- Quarta, 11: é o dia do 11.11. Evite qualquer deploy. Use o dia para preparar os pacotes da faixa 1 em homologação, se houver.
- Quinta, 12: testes de fluxo crítico em homologação: busca, página de produto, carrinho, checkout com cada meio de pagamento, integração de pedidos e painel.
- Sexta, 13, ou a madrugada seguinte: deploy em produção do que estiver na faixa 1, em janela de baixo tráfego, seguido de verificação com a ferramenta oficial e registro do resultado.
Para a faixa 2, a decisão deve sair até o dia 13, para que a eventual aplicação aconteça até o dia 20.
Lojas fora do suporte
Para lojas na linha 2.4.6 ou anterior, a situação é diferente. A linha 2.4.6 saiu do suporte regular em 11 de agosto de 2026, como mostramos no artigo sobre o fim do suporte do Magento 2.4.6. Correções para falhas descobertas depois dessa data não chegam pelo caminho normal. Para essas operações, o boletim de novembro é mais um lembrete de que a atualização precisa estar no calendário do primeiro trimestre, e de que medidas compensatórias, como firewall de aplicação e restrição de acesso ao painel, merecem revisão antes da Black Friday.
Como a Trezo trata esse cenário
Na Trezo, cada boletim da Adobe é lido e classificado no dia da publicação, e o cliente recebe o plano antes de precisar perguntar. Em novembro, o critério de exceção ao congelamento já está acordado com cada cliente desde outubro, o que permite agir rápido na faixa 1 sem improviso. A verificação de patches, incluindo hotfixes fora do calendário, faz parte do ciclo mensal. A infraestrutura é gerenciada na AWS, como parceiros da AWS Partner Network, e os processos seguem a certificação ISO 27001.
Se você não tem certeza de que o hotfix de setembro está aplicado na sua loja, fale com nossos especialistas antes do dia 10.
Perguntas frequentes
Sim. O boletim APSB26-146 cobre as duas edições, e o boletim APSB26-153, de outubro, orienta a aplicar o hotfix além das correções mensais em ambas.
Pode, se as falhas corrigidas forem críticas e exploráveis sem autenticação ou tiverem exploração ativa confirmada. Nos demais casos, a decisão deve seguir o critério de exceção definido para o congelamento, e falhas de menor risco podem esperar a primeira semana de dezembro.
Não necessariamente. No caso da CVE-2026-75650, a Adobe orientou explicitamente a aplicar o hotfix além das correções de outubro. Por isso a verificação deve conferir tanto os pacotes mensais quanto os hotfixes extraordinários.
