CVE-2026-48356: Vulnerabilidad de Carga sin Restricciones de Archivo con Tipo Peligroso en Adobe Commerce y Magento

CISA dice que ha agregado dos nuevas vulnerabilidades a su Catálogo KEV, basado en evidencia de explotación activa[2]. Una de ellas es CVE-2026-48356 Vulnerabilidad de Carga sin Restricciones de Archivo con Tipo Peligroso en Adobe Commerce y Magento[2].SecurityOnline reporta que la falla tiene una puntuación CVSS de 9,3 y que las agencias federales deben aplicar parches antes del 10 de noviembre de 2026[1].El registro CVE de Adobe, reflejado por SentinelOne, dice que la falla "podría resultar en ejecución arbitraria de código en el contexto del usuario actual"[3]. También dice que la explotación requiere interacción del usuario[4]. HOL reporta que Sansec vio 471 tiendas comprometidas en una hora a través de webshells PolyShell seguidas de cargadores JavaScript inyectados[5].HOL señala que el boletín APSB26-73 de Adobe aún afirma que Adobe no tiene conocimiento de exploits; la evidencia de explotación proviene de la investigación de Sansec[5]. HOL agrega que en las configuraciones nginx y Apache de ejemplo de Adobe, el archivo cargado no se sirve[5].SecurityOnline reporta que Adobe solucionó la falla de Magento en julio de 2026 bajo el boletín APSB26-73[1]. Aconseja a los administradores que instalen el parche correspondiente de 2026-jul para su versión[1].HOL advierte que las tiendas parcheadas aún pueden contener archivos cargados antes de aplicar parches[5]. SentinelOne recomienda que los administradores roten las credenciales administrativas e invaliden las sesiones administrativas activas después de aplicar parches[4].