CVE-2026-48356: Уязвимость неограниченной загрузки файла опасного типа в Adobe Commerce и Magento

CISA заявляет, что добавила две новые уязвимости в свой каталог KEV на основе свидетельств активной эксплуатации[2]. Одна из них - это CVE-2026-48356 - уязвимость неограниченной загрузки файла опасного типа в Adobe Commerce и Magento[2]. SecurityOnline сообщает, что уязвимость имеет оценку CVSS 9.3 и что федеральные агентства должны установить патч к 10 ноября 2026 года[1]. Запись CVE от Adobe, отраженная компанией SentinelOne, говорит, что уязвимость "может привести к выполнению произвольного кода в контексте текущего пользователя"[3]. Она также указывает, что эксплуатация требует взаимодействия пользователя[4]. HOL сообщает, что Sansec обнаружила 471 скомпрометированный магазин за один час через веб-shells PolyShell, за которыми последовали инжектированные загрузчики JavaScript[5]. HOL отмечает, что бюллетень Adobe APSB26-73 по-прежнему указывает, что Adobe не знает об эксплойтах; доказательства эксплуатации поступают из исследований Sansec[5]. HOL добавляет, что в примерах конфигураций nginx и Apache от Adobe загруженный файл не обслуживается[5]. SecurityOnline сообщает, что Adobe исправила уязвимость Magento в июле 2026 года в соответствии с бюллетенем APSB26-73[1]. Она рекомендует администраторам установить соответствующий патч 2026-jul для вашего версии[1]. HOL предупреждает, что патченные магазины все еще могут содержать файлы, загруженные до применения патча[5]. SentinelOne рекомендует администраторам сменить учетные данные администратора и аннулировать активные сеансы администратора после применения патча[4].