CVE-2026-48356: Vulnerabilidade de Upload Irrestrito de Arquivo com Tipo Perigoso no Adobe Commerce e Magento

A CISA diz que adicionou duas novas vulnerabilidades ao seu Catálogo KEV, com base em evidências de exploração ativa[2]. Uma delas é CVE-2026-48356 Vulnerabilidade de Upload Irrestrito de Arquivo com Tipo Perigoso no Adobe Commerce e Magento[2].A SecurityOnline relata que a falha possui uma pontuação CVSS de 9,3 e que agências federais devem corrigir até 10 de novembro de 2026[1].O registro CVE da Adobe, conforme refletido pela SentinelOne, diz que a falha "poderia resultar em execução arbitrária de código no contexto do usuário atual"[3]. Também diz que a exploração requer interação do usuário[4]. A HOL relata que a Sansec viu 471 lojas comprometidas em uma hora via webshells PolyShell seguidos por carregadores JavaScript injetados[5].A HOL observa que o boletim APSB26-73 da Adobe ainda afirma que a Adobe não tem conhecimento de exploits; as evidências de exploração vêm da pesquisa da Sansec[5]. A HOL acrescenta que nas configurações de nginx e Apache de amostra da Adobe o arquivo enviado não é servido[5].A SecurityOnline relata que a Adobe corrigiu a falha do Magento em julho de 2026 sob o boletim APSB26-73[1]. Ela aconselha os administradores a instalar o patch 2026-jul correspondente para sua versão[1].A HOL avisa que lojas corrigidas ainda podem conter arquivos enviados antes da correção[5]. A SentinelOne recomenda que os administradores girem as credenciais administrativas e invalidem as sessões de administrador ativas após a correção[4].