CVE-2026-48356: Вразливість Adobe Commerce та Magento, яка дозволяє необмежене завантаження файлу небезпечного типу

CISA заявляє, що додала дві нові вразливості до свого каталогу KEV на основі доказів активної експлуатації[2]. Одна з них — CVE-2026-48356 — вразливість Adobe Commerce та Magento, яка дозволяє необмежене завантаження файлу небезпечного типу[2]. SecurityOnline повідомляє, що вразливість має оцінку CVSS 9.3 і що федеральні установи мають встановити виправлення до 10 листопада 2026 року[1]. Запис CVE Adobe, як зареєстровано компанією SentinelOne, говорить, що вразливість "може привести до довільного виконання коду в контексті поточного користувача"[3]. Він також стверджує, що експлуатація вимагає взаємодії користувача[4]. HOL повідомляє, що компанія Sansec виявила 471 скомпрометований магазин за одну годину через веб-shell PolyShell з наступним впровадженням завантажувачів JavaScript[5]. HOL відзначає, що бюлетень Adobe APSB26-73 все ще стверджує, що Adobe не знає про експлуатацію; доказ експлуатації надходить з дослідження Sansec[5]. HOL додає, що на прикладах конфігурацій nginx та Apache Adobe завантажений файл не надається[5]. SecurityOnline повідомляє, що Adobe виправила вразливість Magento в липні 2026 року в бюлетені APSB26-73[1]. Вона рекомендує адміністраторам встановити відповідну виправку 2026-jul для вашого реліза[1]. HOL попереджає, що виправлені магазини можуть все ще містити файли, завантажені до встановлення виправлення[5]. SentinelOne рекомендує адміністраторам змінити облікові дані адміністратора та скасувати активні сеанси адміністратора після встановлення виправлення[4].