Adobe Commerce y Magento: CVE-2026-48356 explotada (CISA KEV)

El 27 de octubre de 2026 la CISA añadió la CVE-2026-48356 a su catálogo Known Exploited Vulnerabilities (KEV), que recoge las vulnerabilidades de las que la agencia estadounidense tiene pruebas de explotación activa. La ficha se titula «Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type Vulnerability»: una vulnerabilidad de subida sin restricciones de archivos de tipo peligroso.

La CVE no es nueva: la National Vulnerability Database (NVD) la publicó el 14 de julio de 2026, más de tres meses antes de su inclusión en el KEV. La ficha de NVD se modificó por última vez el 27 de octubre, el mismo día de la inclusión. Este artículo se basa solo en la ficha del KEV y en la de NVD: las fuentes disponibles no describen los ataques, las víctimas ni los actores.

Qué dicen la CISA y NVD

• CVE: CVE-2026-48356, debilidad CWE-434 (subida sin restricciones de archivos de tipo peligroso).
• Gravedad: CVSS 3.1 9.3 (crítica), la misma puntuación asignada por Adobe y por NVD.
• Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N. Significa: ataque por red, baja complejidad, sin privilegios, pero requiere la interacción de un usuario; cambio de ámbito (scope changed); impacto alto en confidencialidad e integridad, ningún impacto indicado en la disponibilidad.
• Efecto: según la descripción de NVD, la vulnerabilidad puede llevar a la ejecución de código arbitrario en el contexto del usuario actual, con la posibilidad de obtener acceso elevado o el control de la cuenta o de la sesión de la víctima.
• Condición de explotación: también según NVD, la víctima tiene que visitar una URL manipulada o interactuar con una página web comprometida.
• Ransomware: en el campo sobre el uso en campañas de ransomware el KEV indica «Unknown», es decir, desconocido.

Las fuentes no indican la cadena de ataque, las técnicas utilizadas ni cuándo empezó la explotación.

Productos y versiones afectadas

La configuración de la ficha de NVD enumera:

• Adobe Commerce 2.4.4, 2.4.5, 2.4.6, 2.4.7, 2.4.8 y 2.4.9;
• Adobe Commerce B2B 1.3.3, 1.3.4, 1.4.2, 1.5.2 y 1.5.3;
• Magento 2.4.6, 2.4.7, 2.4.8 y 2.4.9;
• Adobe I/O Events desde la 1.6.0 hasta la 1.21.0, esta excluida.

La referencia del fabricante indicada por NVD es el boletín de seguridad de Adobe APSB26-73. La lista exacta de versiones afectadas, incluidos los niveles de parche, y la de versiones corregidas deben comprobarse en el boletín.

Entre sus referencias, NVD enlaza también dos páginas de investigación de Sansec, empresa especializada en la seguridad del comercio electrónico: polyshell-mass-attack-wave y magento-cms-block-loader-deepveindrilling, esta última con una sección dedicada a los indicadores de compromiso. No las hemos analizado para este artículo y no recogemos su contenido, pero si gestionas una tienda con Adobe Commerce o Magento conviene que las consultes.

Qué pide la CISA

La ficha del KEV pide:

• aplicar las mitigaciones según las instrucciones del fabricante, siguiendo la directiva BOD 26-04 de la CISA sobre la prioridad de las actualizaciones en función del riesgo y sus requisitos de triaje forense («Forensics Triage Requirements»);
• en los servicios en la nube, seguir la misma directiva o dejar de usar el producto si no hay mitigaciones disponibles;
• evaluar la exposición a Internet de cada sistema.

Para las agencias federales estadounidenses el plazo vence el 10 de noviembre de 2026. No se aplica a las empresas europeas, pero indica la prioridad que la CISA da a la vulnerabilidad.

Impacto para las empresas europeas e italianas

Adobe Commerce y Magento son plataformas de comercio electrónico que usan muchas tiendas online, también en Italia, a menudo gestionadas por agencias o proveedores de hosting externos. Una vulnerabilidad explotada que permite ejecutar código y controlar la sesión de un usuario afecta directamente a los datos de clientes y pedidos.

Si un ataque provoca una violación de datos personales, se aplican las obligaciones del RGPD, con la notificación a la autoridad de control en un plazo de 72 horas cuando hay riesgo para las personas. Los mercados en línea figuran entre los proveedores digitales de la NIS2: para ellos la gestión de las vulnerabilidades explotadas forma parte de las medidas de seguridad, y un posible incidente significativo debe evaluarse a efectos de la notificación al CSIRT nacional (en Italia, el CSIRT Italia de la ACN).

Qué hacer ya

1. Haz el inventario de las instalaciones de Adobe Commerce, Adobe Commerce B2B y Magento, incluidas las de pruebas y las gestionadas por agencias o proveedores, con las versiones exactas. Comprueba también si está instalado Adobe I/O Events y en qué versión.
2. Consulta el boletín APSB26-73 y aplica las actualizaciones o las mitigaciones que indica Adobe. La CVE es pública desde el 14 de julio: si todavía no has aplicado las correcciones del boletín, la prioridad es máxima.
3. Haz el triaje forense, como pide también la CISA: una actualización no elimina lo que un atacante haya podido dejar ya en el servidor. Revisa en particular:
   • archivos nuevos o modificados en las carpetas donde la tienda guarda los archivos subidos y en el resto de la carpeta del sitio, sobre todo archivos ejecutables como scripts PHP;
   • cuentas de administración creadas o modificadas recientemente y sesiones anómalas;
   • peticiones inusuales en los registros del servidor web.
4. Compara tus sistemas con los indicadores de compromiso publicados por Sansec, a los que remite la ficha de NVD.
5. Reduce la exposición: limita el acceso al panel de administración y valora, junto con tu proveedor, cómo proteger la tienda si no puedes actualizar enseguida.
6. Si encuentras rastros: aísla el servidor, cambia las credenciales y los secretos guardados en él y luego evalúa las obligaciones de notificación.

Cómo ayuda ARXDOME

ARX Expose muestra los servicios de tu empresa visibles desde Internet y los productos reconocidos, útil para encontrar las tiendas online expuestas. ARX Shield enumera las vulnerabilidades abiertas en las máquinas con el agente, con las ya explotadas destacadas, y permite aislar de la red una máquina sospechosa. ARX Sentry controla la integridad de los archivos en las carpetas que elijas: si incluyes las de la tienda, la aparición de archivos nuevos se convierte en un evento que analizar.

Última actualización: 27 de octubre de 2026