2026-10-28
Vulnerabilidade CVE-2026-48356 do Adobe Commerce e do Magento: CISA confirma exploração (KEV), a correção de julho e como verificar se houve invasão
Em 27 de outubro de 2026, a CISA incluiu a CVE-2026-48356, uma vulnerabilidade de upload de arquivos no Adobe Commerce e no Magento Open Source, em seu catálogo de vulnerabilidades sabidamente exploradas (KEV). O prazo para as agências civis federais dos EUA é 10 de novembro. A Adobe corrigiu essa falha, junto com outras 13, no boletim de segurança APSB26-73 em 14 de julho de 2026. São afetados o Adobe Commerce 2.4.4 a 2.4.9, o Magento Open Source 2.4.6 a 2.4.9, o Adobe Commerce B2B e o Adobe Commerce Events. A correção é a correção de segurança 2026-jul de cada linha de versões (1.21.0 para o Events). A tabela do boletim da Adobe atribui CVSS 9,6, enquanto o registro CVE da Adobe e o NVD atribuem 9,3; a única diferença é o impacto na disponibilidade. O boletim da Adobe (atualizado em 11 de agosto) ainda diz que a Adobe não tem conhecimento de exploração. Em 24 de outubro, uma empresa de segurança de e-commerce relatou que web shells instalados por meio dessa falha (que ela chama de PolyShell) e de outras falhas foram usados para injetar JavaScript em páginas de lojas, em uma campanha que atingiu 953 lojas, a maioria Magento, desde julho de 2025, e que encontrou o código injetado também em lojas corrigidas. Em 28 de outubro, nenhum órgão público japonês havia emitido alerta e nenhuma loja japonesa havia divulgado ter sido afetada. Conclusão deste site: lojas com Adobe Commerce e Magento devem confirmar hoje que a correção de julho está aplicada e, mesmo que esteja, verificar as pastas de upload, os blocos CMS e as contas de administrador em busca de sinais de invasão.