1 artículo con esta etiqueta
El 27 de octubre de 2026, CISA añadió CVE-2026-48356, una vulnerabilidad de subida de archivos en Adobe Commerce y Magento Open Source, a su catálogo de vulnerabilidades explotadas conocidas (KEV). El plazo para las agencias civiles federales de EE. UU. es el 10 de noviembre. Adobe corrigió este fallo, junto con otros 13, en el boletín de seguridad APSB26-73 el 14 de julio de 2026. Están afectados Adobe Commerce 2.4.4 a 2.4.9, Magento Open Source 2.4.6 a 2.4.9, Adobe Commerce B2B y Adobe Commerce Events. La corrección es la corrección de seguridad 2026-jul de cada línea de versiones (1.21.0 para Events). La tabla del boletín de Adobe le asigna un CVSS de 9,6, mientras que el registro CVE de Adobe y NVD le asignan 9,3; la única diferencia es el impacto en la disponibilidad. El boletín de Adobe (actualizado el 11 de agosto) sigue diciendo que Adobe no tiene constancia de explotación. El 24 de octubre, una empresa de seguridad de comercio electrónico informó de que web shells colocadas a través de este fallo (al que llama PolyShell) y de otros fallos se usaron para inyectar JavaScript en páginas de tiendas, en una campaña que ha alcanzado 953 tiendas, en su mayoría Magento, desde julio de 2025, y de que encontró el código inyectado también en tiendas corregidas. A 28 de octubre, ningún organismo público japonés ha emitido una alerta y ninguna tienda japonesa ha revelado estar afectada. Conclusión de este sitio: las tiendas con Adobe Commerce y Magento deben confirmar hoy que la corrección de julio está aplicada y, aunque lo esté, revisar las carpetas de subida, los bloques CMS y las cuentas de administrador en busca de indicios de intrusión.