Adobe Commerce e Magento: CVE-2026-48356 sfruttata (CISA KEV)

Il 27 ottobre 2026 la CISA ha inserito la CVE-2026-48356 nel catalogo Known Exploited Vulnerabilities (KEV), che raccoglie le vulnerabilità di cui l’agenzia statunitense ha prove di sfruttamento attivo. La scheda si intitola «Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type Vulnerability»: una vulnerabilità di caricamento di file di tipo pericoloso senza restrizioni.

La CVE non è nuova: il National Vulnerability Database (NVD) l’ha pubblicata il 14 luglio 2026, più di tre mesi prima dell’inserimento nel KEV. La scheda NVD è stata modificata l’ultima volta il 27 ottobre, lo stesso giorno dell’inserimento. Questo articolo si basa solo sulla scheda del KEV e su quella di NVD: le fonti disponibili non descrivono gli attacchi, le vittime o gli attori.

Cosa dicono la CISA e NVD

• CVE: CVE-2026-48356, debolezza CWE-434 (caricamento senza restrizioni di file di tipo pericoloso).
• Gravità: CVSS 3.1 9.3 (critica), stesso punteggio assegnato da Adobe e da NVD.
• Vettore: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N. Significa: attacco dalla rete, bassa complessità, nessun privilegio richiesto, ma serve l’interazione di un utente; cambio di ambito (scope changed); impatto alto su riservatezza e integrità, nessun impatto indicato sulla disponibilità.
• Effetto: secondo la descrizione di NVD, la vulnerabilità può portare all’esecuzione di codice arbitrario nel contesto dell’utente corrente, con la possibilità di ottenere un accesso elevato o il controllo dell’account o della sessione della vittima.
• Condizione di sfruttamento: sempre secondo NVD, la vittima deve visitare un URL costruito ad arte o interagire con una pagina web compromessa.
• Ransomware: alla voce sull’uso in campagne ransomware il KEV riporta «Unknown», cioè non noto.

Le fonti non indicano la catena di attacco, le tecniche usate né il periodo in cui è iniziato lo sfruttamento.

Prodotti e versioni colpite

La configurazione della scheda NVD elenca:

• Adobe Commerce 2.4.4, 2.4.5, 2.4.6, 2.4.7, 2.4.8 e 2.4.9;
• Adobe Commerce B2B 1.3.3, 1.3.4, 1.4.2, 1.5.2 e 1.5.3;
• Magento 2.4.6, 2.4.7, 2.4.8 e 2.4.9;
• Adobe I/O Events dalla 1.6.0 fino alla 1.21.0 esclusa.

Il riferimento del produttore indicato da NVD è il bollettino di sicurezza Adobe APSB26-73. L’elenco preciso delle versioni colpite, compresi i livelli di patch, e quello delle versioni corrette vanno verificati nel bollettino.

Tra i riferimenti NVD collega anche due pagine di ricerca della società Sansec, specializzata nella sicurezza dell’e-commerce: polyshell-mass-attack-wave e magento-cms-block-loader-deepveindrilling, quest’ultima con una sezione dedicata agli indicatori di compromissione. Non le abbiamo analizzate per questo articolo e non ne riportiamo il contenuto, ma chi gestisce un negozio con Adobe Commerce o Magento dovrebbe consultarle.

Cosa chiede la CISA

La scheda del KEV chiede di:

• applicare le mitigazioni secondo le istruzioni del produttore, seguendo la direttiva BOD 26-04 della CISA sulla priorità degli aggiornamenti in base al rischio e i suoi requisiti di triage forense («Forensics Triage Requirements»);
• per i servizi cloud, seguire la stessa direttiva oppure smettere di usare il prodotto se le mitigazioni non sono disponibili;
• valutare l’esposizione a Internet di ogni sistema.

Per le agenzie federali statunitensi la scadenza è il 10 novembre 2026. Il termine non vale per le aziende europee, ma indica la priorità che la CISA assegna alla vulnerabilità.

Impatto per le aziende europee e italiane

Adobe Commerce e Magento sono piattaforme di e-commerce usate da molti negozi online, anche in Italia, spesso gestiti da agenzie o fornitori di hosting esterni. Una vulnerabilità sfruttata che consente l’esecuzione di codice e il controllo della sessione di un utente riguarda direttamente i dati dei clienti e degli ordini.

Se un attacco porta a una violazione di dati personali, si applicano gli obblighi del GDPR, con la notifica al Garante entro 72 ore quando ci sono rischi per le persone. I marketplace online rientrano tra i fornitori digitali della NIS2: per loro la gestione delle vulnerabilità sfruttate fa parte delle misure di sicurezza e un eventuale incidente significativo va valutato ai fini della notifica al CSIRT Italia dell’ACN.

Cosa fare subito

1. Fai l’inventario delle installazioni di Adobe Commerce, Adobe Commerce B2B e Magento, comprese quelle di test e quelle gestite da agenzie o fornitori, con le versioni esatte. Verifica anche se è installato Adobe I/O Events e in quale versione.
2. Consulta il bollettino APSB26-73 e applica gli aggiornamenti o le mitigazioni indicate da Adobe. La CVE è pubblica dal 14 luglio: se non hai ancora applicato le correzioni del bollettino, la priorità è massima.
3. Fai il triage forense, come chiede anche la CISA: un aggiornamento non elimina quello che un attaccante potrebbe aver già lasciato sul server. Controlla in particolare:
   • file nuovi o modificati nelle cartelle in cui il negozio salva i file caricati e nel resto della cartella del sito, soprattutto file eseguibili come script PHP;
   • account amministrativi creati o modificati di recente e sessioni anomale;
   • richieste insolite nei log del server web.
4. Confronta i tuoi sistemi con gli indicatori di compromissione pubblicati da Sansec, a cui rimanda la scheda NVD.
5. Riduci l’esposizione: limita l’accesso al pannello di amministrazione e valuta, insieme al fornitore, come proteggere il negozio se l’aggiornamento non è possibile subito.
6. Se trovi tracce: isola il server, cambia le credenziali e i segreti salvati sul server, poi valuta gli obblighi di notifica.

Come aiuta ARXDOME

ARX Expose mostra i servizi della tua azienda visibili da Internet e i prodotti riconosciuti, utile per trovare i negozi online esposti. ARX Shield elenca le vulnerabilità aperte sulle macchine con l’agent, con quelle già sfruttate in evidenza, e permette di isolare dalla rete una macchina sospetta. ARX Sentry controlla l’integrità dei file nelle cartelle stabilite: includendo quelle del negozio, la comparsa di nuovi file diventa un evento da analizzare.

Ultimo aggiornamento: 27 ottobre 2026