Adobe Commerce și Magento: CVE-2026-48356 exploatată (CISA KEV)

Pe 27 octombrie 2026, CISA a adăugat CVE-2026-48356 în catalogul Known Exploited Vulnerabilities (KEV), care reunește vulnerabilitățile pentru care agenția americană are dovezi de exploatare activă. Fișa se intitulează „Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type Vulnerability”: o vulnerabilitate de încărcare fără restricții a fișierelor de tip periculos.

CVE-ul nu este nou: National Vulnerability Database (NVD) l-a publicat pe 14 iulie 2026, cu peste trei luni înainte de includerea în KEV. Fișa NVD a fost modificată ultima dată pe 27 octombrie, în aceeași zi cu includerea. Acest articol se bazează doar pe fișa KEV și pe cea NVD: sursele disponibile nu descriu atacurile, victimele sau actorii.

Ce spun CISA și NVD

• CVE: CVE-2026-48356, slăbiciune CWE-434 (încărcare fără restricții a fișierelor de tip periculos).
• Gravitate: CVSS 3.1 9.3 (critică), același scor atribuit de Adobe și de NVD.
• Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N. Înseamnă: atac prin rețea, complexitate scăzută, fără privilegii, dar este necesară interacțiunea unui utilizator; schimbare de domeniu (scope changed); impact ridicat asupra confidențialității și integrității, niciun impact indicat asupra disponibilității.
• Efect: conform descrierii NVD, vulnerabilitatea poate duce la executarea de cod arbitrar în contextul utilizatorului curent, cu posibilitatea de a obține acces ridicat sau controlul contului ori al sesiunii victimei.
• Condiție de exploatare: tot conform NVD, victima trebuie să viziteze un URL creat special sau să interacționeze cu o pagină web compromisă.
• Ransomware: la rubrica privind folosirea în campanii ransomware, KEV indică „Unknown”, adică necunoscut.

Sursele nu descriu lanțul de atac, tehnicile folosite și nici momentul în care a început exploatarea.

Produse și versiuni afectate

Configurația din fișa NVD enumeră:

• Adobe Commerce 2.4.4, 2.4.5, 2.4.6, 2.4.7, 2.4.8 și 2.4.9;
• Adobe Commerce B2B 1.3.3, 1.3.4, 1.4.2, 1.5.2 și 1.5.3;
• Magento 2.4.6, 2.4.7, 2.4.8 și 2.4.9;
• Adobe I/O Events de la 1.6.0 până la 1.21.0, exclusiv.

Referința producătorului indicată de NVD este buletinul de securitate Adobe APSB26-73. Lista exactă a versiunilor afectate, inclusiv nivelurile de patch, și cea a versiunilor corectate trebuie verificate în buletin.

Printre referințe, NVD include și două pagini de cercetare ale Sansec, companie specializată în securitatea comerțului electronic: polyshell-mass-attack-wave și magento-cms-block-loader-deepveindrilling, ultima cu o secțiune dedicată indicatorilor de compromitere. Nu le-am analizat pentru acest articol și nu le redăm conținutul, dar dacă administrezi un magazin pe Adobe Commerce sau Magento merită să le consulți.

Ce cere CISA

Fișa KEV cere:

• aplicarea măsurilor de atenuare conform instrucțiunilor producătorului, respectând directiva BOD 26-04 a CISA privind prioritizarea actualizărilor în funcție de risc și cerințele sale de triaj criminalistic („Forensics Triage Requirements”);
• pentru serviciile cloud, respectarea aceleiași directive sau renunțarea la produs dacă nu există măsuri de atenuare;
• evaluarea expunerii la Internet a fiecărui sistem.

Pentru agențiile federale americane termenul este 10 noiembrie 2026. Nu se aplică firmelor europene, dar arată prioritatea pe care CISA o acordă vulnerabilității.

Impactul pentru firmele europene și italiene

Adobe Commerce și Magento sunt platforme de comerț electronic folosite de multe magazine online, inclusiv în Italia, adesea administrate de agenții sau furnizori externi de hosting. O vulnerabilitate exploatată care permite executarea de cod și controlul sesiunii unui utilizator afectează direct datele clienților și ale comenzilor.

Dacă un atac duce la o încălcare a securității datelor personale, se aplică obligațiile GDPR, cu notificarea autorității de supraveghere în 72 de ore atunci când există riscuri pentru persoane. Piețele online se numără printre furnizorii digitali vizați de NIS2: pentru ele, gestionarea vulnerabilităților exploatate face parte din măsurile de securitate, iar un eventual incident semnificativ trebuie evaluat în vederea notificării către CSIRT-ul național (în Italia, CSIRT Italia al ACN).

Ce să faci acum

1. Fă inventarul instalărilor de Adobe Commerce, Adobe Commerce B2B și Magento, inclusiv cele de test și cele administrate de agenții sau furnizori, cu versiunile exacte. Verifică și dacă este instalat Adobe I/O Events și în ce versiune.
2. Consultă buletinul APSB26-73 și aplică actualizările sau măsurile de atenuare indicate de Adobe. CVE-ul este public din 14 iulie: dacă nu ai aplicat încă corecturile din buletin, prioritatea este maximă.
3. Fă triajul criminalistic, așa cum cere și CISA: o actualizare nu elimină ce ar fi putut lăsa deja un atacator pe server. Verifică în special:
   • fișiere noi sau modificate în dosarele în care magazinul salvează fișierele încărcate și în restul dosarului site-ului, mai ales fișiere executabile, cum ar fi scripturile PHP;
   • conturi de administrator create sau modificate recent și sesiuni anormale;
   • cereri neobișnuite în jurnalele serverului web.
4. Compară sistemele tale cu indicatorii de compromitere publicați de Sansec, la care trimite fișa NVD.
5. Redu expunerea: limitează accesul la panoul de administrare și stabilește, împreună cu furnizorul, cum protejezi magazinul dacă nu poți actualiza imediat.
6. Dacă găsești urme: izolează serverul, schimbă credențialele și secretele salvate pe el, apoi evaluează obligațiile de notificare.

Cum te ajută ARXDOME

ARX Expose arată serviciile firmei tale vizibile din Internet și produsele recunoscute, util pentru a găsi magazinele online expuse. ARX Shield enumeră vulnerabilitățile deschise pe mașinile cu agent, cu cele deja exploatate evidențiate, și permite izolarea din rețea a unei mașini suspecte. ARX Sentry verifică integritatea fișierelor în dosarele alese: dacă le incluzi pe cele ale magazinului, apariția unor fișiere noi devine un eveniment de analizat.

Ultima actualizare: 27 octombrie 2026