2026-10-28
Уязвимость Adobe Commerce и Magento CVE-2026-48356: CISA подтверждает эксплуатацию (KEV), июльское исправление и как проверить следы вторжения
27 октября 2026 года CISA внесло CVE-2026-48356, уязвимость загрузки файлов в Adobe Commerce и Magento Open Source, в каталог известных эксплуатируемых уязвимостей (KEV). Срок для федеральных гражданских ведомств США — 10 ноября. Adobe исправила эту уязвимость вместе с 13 другими в бюллетене безопасности APSB26-73 14 июля 2026 года. Затронуты Adobe Commerce с 2.4.4 по 2.4.9, Magento Open Source с 2.4.6 по 2.4.9, Adobe Commerce B2B и Adobe Commerce Events. Исправление — июльское исправление безопасности 2026-jul для каждой линейки выпусков (1.21.0 для Events). В таблице бюллетеня Adobe оценка CVSS 9.6, а в записи CVE от Adobe и в NVD — 9.3; различается только влияние на доступность. В бюллетене Adobe (обновлён 11 августа) по-прежнему сказано, что Adobe не известно об эксплуатации. 24 октября компания по безопасности электронной коммерции сообщила, что веб-шеллы, размещённые через эту уязвимость (которую она называет PolyShell) и другие уязвимости, использовались для внедрения JavaScript на страницы магазинов в кампании, затронувшей с июля 2025 года 953 магазина, в основном на Magento, и что внедрённый код она нашла и в магазинах с установленными исправлениями. По состоянию на 28 октября ни одно японское государственное ведомство не выпустило предупреждения, и ни один японский магазин не сообщил о том, что пострадал. Вывод этого сайта: магазинам на Adobe Commerce и Magento следует сегодня убедиться, что июльское исправление применено, и даже если оно применено, проверить папки загрузки, CMS-блоки и учётные записи администраторов на следы вторжения.