CVE-2026-48356: Adobe Commerce und Magento – Sicherheitslücke bei uneingeschränktem Upload von Dateien mit gefährlichem Dateityp

CISA gibt an, dass es zwei neue Sicherheitslücken in seinen KEV-Katalog aufgenommen hat, basierend auf Hinweisen auf aktive Ausnutzung[2]. Eine davon ist CVE-2026-48356 Adobe Commerce und Magento – Sicherheitslücke bei uneingeschränktem Upload von Dateien mit gefährlichem Dateityp[2]. SecurityOnline berichtet, dass die Sicherheitslücke einen CVSS-Score von 9,3 aufweist und dass Bundesbehörden bis zum 10. November 2026 patchen müssen[1]. Adobes CVE-Eintrag, wie von SentinelOne gespiegelt, besagt, dass die Sicherheitslücke "zur willkürlichen Codeausführung im Kontext des aktuellen Benutzers führen könnte"[3]. Es heißt auch, dass die Ausnutzung eine Benutzerinteraktion erfordert[4]. HOL berichtet, dass Sansec innerhalb einer Stunde 471 Stores über PolyShell-Webshells und nachfolgend injizierte JavaScript-Loader kompromittiert sah[5]. HOL vermerkt, dass Adobes APSB26-73-Bulletin immer noch besagt, dass Adobe keine Exploits bekannt sind; Exploitationsnachweise stammen aus Sansecs Forschung[5]. HOL fügt hinzu, dass die hochgeladene Datei in Adobes Beispiel-Nginx- und Apache-Konfigurationen nicht bereitgestellt wird[5]. SecurityOnline berichtet, dass Adobe die Magento-Sicherheitslücke im Juli 2026 unter dem Bulletin APSB26-73 behoben hat[1]. Es empfiehlt Administratoren, den entsprechenden 2026-Jul-Patch für Ihre Version zu installieren[1]. HOL warnt, dass gepatchte Stores möglicherweise noch Dateien enthalten, die vor dem Patchen hochgeladen wurden[5]. SentinelOne empfiehlt Administratoren, Administratorberechtigungen zu wechseln und aktive Admin-Sitzungen nach dem Patchen ungültig zu machen[4].