Magento și Adobe Commerce, vizate de atacuri active: CVE-2026-48356, vulnerabilitate critică în magazinele online
CISA a inclus CVE-2026-48356 în catalogul vulnerabilităților exploatate activ la 27 octombrie 2026. Administratorii Magento Open Source și Adobe Commerce trebuie să verifice imediat patch-urile aplicate.
O vulnerabilitate critică de securitate afectează Magento Open Source și Adobe Commerce, platforme folosite pentru magazine online și operațiuni de comerț electronic. Defectul, identificat drept CVE-2026-48356, este încadrat în categoria CWE-434 — Unrestricted Upload of File with Dangerous Type, adică gestionarea insuficientă a încărcării fișierelor de tip periculos.
Pe 27 octombrie 2026, agenția americană de securitate cibernetică CISA a inclus vulnerabilitatea în catalogul Known Exploited Vulnerabilities (KEV), unde sunt introduse problemele pentru care există dovezi de exploatare în lumea reală. Acest lucru transformă actualizarea dintr-o recomandare generală într-o prioritate operațională.
De ce contează pentru magazinele online
Magento Open Source și Adobe Commerce sunt soluții flexibile, construite pentru cataloage mari, plăți, gestiunea comenzilor și integrarea cu sisteme de livrare, contabilitate ori ERP. În funcție de configurare, o singură instanță poate prelucra informații despre clienți, comenzi, adrese de livrare și conturi administrative.
Alertă de securitate pentru platformele Magento și Adobe Commerce.
Compromiterea unei astfel de instalații poate produce întreruperi de activitate, pierderi financiare și expunerea informațiilor. Totuși, prezența unei vulnerabilități nu înseamnă automat că toate magazinele afectate au fost compromise.
Cum funcționează vulnerabilitatea CVE-2026-48356
Categoria CWE-434 descrie situațiile în care aplicațiile acceptă sau gestionează inadecvat fișiere care pot reprezenta un pericol pentru securitate. În cazul Magento și Adobe Commerce, descrierea CVE indică posibilitatea executării unui cod arbitrar în contextul utilizatorului și a obținerii unui nivel sporit de control asupra contului ori sesiunii victimei.
Un detaliu important: potrivit datelor publice din NVD, exploatarea nu necesită autentificare prealabilă, dar presupune interacțiunea unei victime, de exemplu accesarea unei adrese malițioase ori interacțiunea cu un site compromis. Nu există, în informațiile publice consultate, suficiente date pentru a descrie cu certitudine componenta exactă vulnerabilă, tipul fișierului folosit sau lanțul complet al atacului.
Prin urmare, nu trebuie presupus că vulnerabilitatea permite automat compromiterea oricărui server printr-o singură cerere HTTP, fără condiții suplimentare.
Severitate critică: CVSS 9,6
Adobe evaluează vulnerabilitatea la CVSS 9,6/10 — CRITICAL. NVD afișează 9,3/10, tot în categoria critică. Diferența dintre scoruri nu modifică prioritatea practică: magazinele expuse trebuie verificate și actualizate.
Exploatarea poate facilita compromiterea conturilor și sesiunilor, iar într-un incident extins, atacatorii ar putea urmări accesul la date sau manipularea aplicației. Acestea sunt riscuri potențiale, nu afirmații că toate scenariile au fost observate în atacurile atribuite acestui CVE.
Ce versiuni sunt vizate?
Buletinul oficial Adobe APSB26-73 identifică mai multe ramuri afectate:
| Produs | Ramuri afectate, conform buletinului |
|---|---|
| Adobe Commerce | 2.4.9; 2.4.8-p5 și anterioare; 2.4.7-p10 și anterioare; 2.4.6-p15 și anterioare; 2.4.5-p17 și anterioare; 2.4.4-p18 și anterioare |
| Magento Open Source | 2.4.9; 2.4.8-p5 și anterioare; 2.4.7-p10 și anterioare; 2.4.6-p15 și anterioare |
| Adobe Commerce B2B | 1.5.3; 1.5.2-p5; 1.4.2-p10; 1.3.4-p17; 1.3.3-p18 și versiunile anterioare relevante |
| Adobe Commerce Events | 1.6.0–1.20.0 |
Adobe a publicat remedieri pentru ramurile afectate și o actualizare Adobe Commerce Events 1.21.0. Patch-urile din iulie sunt identificate prin sufixul -2026-jul. Verificarea trebuie făcută pentru versiunea exactă și pentru patch-urile izolate, nu doar după numărul versiunii principale.
Cronologia vulnerabilității
14 iulie 2026: Adobe publică buletinul APSB26-73, cu actualizări de securitate pentru Adobe Commerce și Magento Open Source. La momentul publicării inițiale, compania nu indica dovezi cunoscute de exploatare activă.
CISA a inclus vulnerabilitatea în catalogul KEV pe 27 octombrie 2026.
August 2026: Adobe documentează suplimentar aplicarea patch-urilor izolate, pentru remedierea mai rapidă a problemelor în anumite instalații.
27 octombrie 2026: CISA introduce CVE-2026-48356 în KEV, confirmând existența dovezilor de exploatare.
10 noiembrie 2026: termenul de remediere indicat în KEV pentru entitățile federale americane vizate de directiva relevantă. Acesta nu este automat un termen legal aplicabil tuturor firmelor private din România.
Ce trebuie să facă administratorii Magento
1. Identificați versiunea instalată. Într-o instalare Magento standard, din directorul aplicației, se poate rula:
php bin/magento --version
Comanda oferă versiunea de bază, dar nu dovedește aplicarea tuturor patch-urilor izolate. Pentru verificarea acestora, consultați instrumentele Adobe, inclusiv Commerce Version Tool.
2. Aplicați actualizările oficiale. Verificați buletinul APSB26-73 și instrucțiunile specifice ramurii instalate. Adobe precizează că patch-urile izolate nu sunt neapărat cumulative și că ordinea de aplicare contează.
3. Analizați jurnalele. Investigați cereri suspecte, activități anormale în zonele de upload, autentificări neobișnuite și modificări neașteptate în directoarele aplicației.
4. Verificați integritatea fișierelor. Comparați codul și fișierele critice cu versiunea aprobată, acordând atenție apariției unor fișiere executabile neașteptate în directoare destinate conținutului încărcat.
5. Reduceți suprafața de atac. Limitați permisiunile, dezactivați executarea de scripturi în directoarele de upload și mențineți configurat un WAF. Aceste controale ajută, dar nu înlocuiesc patch-ul.
6. Tratați separat posibila compromitere. Dacă apar indicii de acces neautorizat, conservați dovezile, investigați persistența și evaluați revocarea sesiunilor și rotația credențialelor. Un patch aplicat după un atac nu elimină automat modificările malițioase deja instalate.
Nu confundați această alertă cu alte vulnerabilități Magento
În septembrie 2026, CISA a inclus separat în KEV vulnerabilitatea CVE-2026-75650, asociată procesării șabloanelor și unui alt scenariu de executare de cod. Este un defect distinct, cu propriile condiții și remedieri. Administratorii trebuie să urmărească fiecare CVE și fiecare actualizare în parte.
Concluzie
CVE-2026-48356 reprezintă un risc critic pentru magazinele Magento și Adobe Commerce care nu au aplicat corecțiile. Cele mai importante elemente sunt scorul critic, disponibilitatea patch-urilor încă din iulie și confirmarea exploatării active la 27 octombrie.
Pentru magazinele care gestionează zilnic comenzi și date despre clienți, recomandarea este clară: verificați imediat versiunea, instalați remedierile disponibile și căutați semne de compromitere. Nu așteptați termenul CISA pentru a începe verificările.
