CVE-2026-48356: Adobe CommmerceおよびMagento 危険なタイプのファイルの無制限アップロード脆弱性

CISAはアクティブな悪用の証拠に基づいて、2つの新しい脆弱性をKEVカタログに追加した[2]。そのうちの1つはCVE-2026-48356 Adobe CommmerceおよびMagento 危険なタイプのファイルの無制限アップロード脆弱性[2]である。SecurityOnlineは、この欠陥がCVSSスコア9.3を持ち、連邦機関は2026年11月10日までにパッチを適用する必要があると報告している[1]。SentinelOneによってミラーされたAdobeのCVEレコードは、この欠陥が"現在のユーザーのコンテキストで任意のコード実行をもたらす可能性がある"と述べている[3]。また、悪用にはユーザーの相互作用が必要であると述べている[4]。HOLはSansecが1時間でPolyShellウェブシェルを経由して471のストアが侵害されたことを報告している。その後、JavaScriptローダーが注入された[5]。HOLはAdobeの APSB26-73ブレティンはAdobeが悪用を認識していないと述べている。悪用の証拠はSansecの研究から得られている[5]と述べている。HOLはさらに、AdobeのサンプルnginxおよびApacheの設定ではアップロードされたファイルは提供されていない[5]と付け加えている。SecurityOnlineは、Adobeが2026年7月にブレティンAPSB26-73の下でMagento欠陥を修正したと報告している[1]。また、管理者に対してお使いのリリースに対応する2026年7月パッチをインストール[1]するよう勧めている。HOLは、パッチされたストアがパッチ適用前にアップロードされたファイルを保持している可能性があると警告している[5]。SentinelOneは管理者にパッチ適用後に管理者の認証情報を回転させ、アクティブな管理者セッションを無効にすること[4]を推奨している。