CVE-2026-48356 : Vulnérabilité de téléchargement non restreint de fichier de type dangereux dans Adobe Commerce et Magento

La CISA déclare qu'elle a ajouté deux nouvelles vulnérabilités à son catalogue KEV, sur la base de preuves d'exploitation active[2]. L'une d'elles est CVE-2026-48356 Vulnérabilité de téléchargement non restreint de fichier de type dangereux dans Adobe Commerce et Magento[2]. SecurityOnline rapporte que la flaw carries un score CVSS de 9,3 et que les agences fédérales doivent appliquer les correctifs avant le 10 novembre 2026[1]. Le dossier CVE d'Adobe, tel que reflété par SentinelOne, indique que la flaw "pourrait entraîner une exécution de code arbitraire dans le contexte de l'utilisateur actuel"[3]. Il indique également que l'exploitation nécessite une interaction de l'utilisateur[4]. HOL rapporte que Sansec a détecté 471 magasins compromis en une heure via des webshells PolyShell suivis de chargeurs JavaScript injectés[5]. HOL note que le bulletin APSB26-73 d'Adobe déclare toujours qu'Adobe n'est pas au courant d'exploits ; les preuves d'exploitation proviennent de la recherche de Sansec[5]. HOL ajoute que sur les exemples de configurations nginx et Apache d'Adobe, le fichier téléchargé n'est pas servi[5]. SecurityOnline rapporte qu'Adobe a corrigé la flaw Magento en juillet 2026 dans le cadre du bulletin APSB26-73[1]. Il conseille aux administrateurs de installer le correctif 2026-jul correspondant pour votre version[1]. HOL avertit que les magasins corrigés peuvent toujours contenir des fichiers téléchargés avant l'application du correctif[5]. SentinelOne recommande que les administrateurs renouvellent les identifiants administratifs et invalident les sessions administrateur actives après l'application du correctif[4].