A CISA adicionou a CVE-2026-48356 ao catálogo Known Exploited Vulnerabilities em 27 de outubro de 2026. A falha afeta o Adobe Commerce e o Magento Open Source e permite o upload irrestrito de arquivos de tipo perigoso. O boletim da Adobe classifica o problema como crítico, com CVSS 9,6, e informa que a exploração não exige autenticação.
Em uma loja virtual, a possibilidade de enviar um arquivo não autorizado pode abrir caminho para execução de código, escalada de privilégios ou controle da aplicação. O risco é maior em instalações expostas à internet, com extensões de terceiros, permissões excessivas ou acesso direto ao diretório de arquivos públicos.
O que a CISA confirmou
A CISA incluiu a CVE-2026-48356 em seu catálogo KEV, que reúne vulnerabilidades com evidência de exploração no mundo real. O prazo de correção indicado no catálogo é 10 de novembro de 2026. A entrada recomenda aplicar as mitigações do fabricante e avaliar a exposição de cada ativo.
A inclusão no KEV é posterior ao boletim original da Adobe. No boletim APSB26-73, publicado em 14 de julho e atualizado em 11 de agosto, a Adobe informava não ter conhecimento de exploração em campo para os problemas daquele pacote. A atualização da CISA em outubro muda a prioridade operacional: mesmo que a avaliação da Adobe fosse válida no momento do boletim, administradores devem agora tratar a CVE como explorada.
Como a vulnerabilidade funciona
A CVE-2026-48356 é classificada como Unrestricted Upload of File with Dangerous Type, correspondente à CWE-434. Um fluxo de upload que aceita um tipo de arquivo perigoso pode permitir que o atacante armazene conteúdo executável ou interpretable em uma localização que a aplicação ou o servidor web consiga processar.
O boletim da Adobe registra que a falha pode levar a escalada de privilégios. O registro no KEV descreve a possibilidade de execução arbitrária de código no contexto do usuário atual ou de obtenção de controle elevado sobre a conta ou sessão afetada.
A exploração não exige autenticação segundo a Adobe, mas a descrição do impacto também considera interação do usuário. Isso não torna a falha menos urgente: em uma loja pública, o atacante pode tentar alcançar diretamente o endpoint vulnerável, abusar de fluxos de cadastro ou combinar o upload com outras condições da aplicação.
Produtos e versões afetadas
O boletim APSB26-73 lista as seguintes versões vulneráveis:
- Adobe Commerce 2.4.9;
- Adobe Commerce 2.4.8-p5 e anteriores;
- Adobe Commerce 2.4.7-p10 e anteriores;
- Adobe Commerce 2.4.6-p15 e anteriores;
- Adobe Commerce 2.4.5-p17 e anteriores;
- Adobe Commerce 2.4.4-p18 e anteriores;
- Magento Open Source 2.4.9;
- Magento Open Source 2.4.8-p5, 2.4.7-p10 e 2.4.6-p15 e anteriores às respectivas correções.
O mesmo boletim também lista versões do Adobe Commerce B2B e Adobe Commerce Events. Ambientes que utilizam esses componentes devem verificar o inventário completo, incluindo módulos e extensões instalados.
Versões corrigidas
A Adobe recomenda atualizar para as releases de julho de 2026:
- Adobe Commerce 2.4.9-2026-jul;
- Adobe Commerce 2.4.8-2026-jul;
- Adobe Commerce 2.4.7-2026-jul;
- Adobe Commerce 2.4.6-2026-jul;
- Adobe Commerce 2.4.5-2026-jul;
- Adobe Commerce 2.4.4-2026-jul;
- Magento Open Source 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul e 2.4.6-2026-jul.
Para o Adobe Commerce B2B, o boletim indica releases corrigidas nas linhas 1.5.3-2026-jul, 1.5.2-2026-jul, 1.4.2-2026-jul, 1.3.4-2026-jul e 1.3.3-2026-jul. Para Adobe Commerce Events, a versão corrigida indicada é 1.21.0.
Como verificar a exposição
Confirme a versão da aplicação no ambiente de produção, e não apenas no repositório. Em instalações com Composer, confira o pacote efetivamente instalado e o arquivo de lock. Registre também a versão do PHP, do servidor web, do banco de dados, das extensões e do tema, pois a cadeia de execução pode depender de todos esses componentes.
Faça um inventário dos endpoints de upload. Inclua envio de imagens de produtos, documentos de clientes, importações administrativas, formulários, integrações de marketplace e módulos de terceiros. Verifique quais diretórios recebem arquivos e se eles são acessíveis pelo servidor web.
Um diretório de upload não deve permitir execução de scripts. Mesmo assim, essa medida não substitui o patch, pois o problema pode ser explorado em fluxos que escapam do diretório esperado ou combinados com outras falhas de autorização.
O que fazer imediatamente
Atualize a plataforma. Instale a release corrigida correspondente à sua linha do Adobe Commerce ou Magento Open Source. Faça backup validado antes da manutenção, teste a atualização em homologação e confirme a versão final em produção.
Revise extensões e integrações. Módulos de terceiros podem implementar endpoints próprios de upload ou alterar as políticas de validação. Desative componentes não utilizados e atualize extensões compatíveis antes de reabrir o acesso público.
Restrinja uploads temporariamente. Quando a atualização imediata não for possível, reduza os tipos de arquivo aceitos, bloqueie extensões perigosas no proxy e no servidor web, desative fluxos que não sejam essenciais e exija autenticação forte para operações administrativas. Essas medidas são temporárias e não substituem a correção.
Proteja os diretórios de arquivos. Separe arquivos enviados de diretórios executáveis, bloqueie interpretação de scripts e aplique permissões mínimas ao usuário do servidor web. Verifique também buckets, volumes e caches que possam replicar conteúdo enviado.
Investigação de possível comprometimento
Procure arquivos recém-criados ou alterados em diretórios de mídia, importação e cache. Dê atenção a extensões inesperadas, nomes aleatórios, arquivos pequenos com conteúdo de script e alterações próximas ao horário de requisições suspeitas.
Correlacione logs do Adobe Commerce, servidor web, WAF, CDN, proxy e sistema operacional. Procure requisições para endpoints de upload com métodos, content types ou tamanhos incomuns, respostas 200/201 fora do padrão, alterações administrativas inesperadas e conexões de saída iniciadas pelo servidor web.
Se houver indício de execução de código, isole o servidor, preserve os logs e faça uma cópia forense antes de remover arquivos. Revogue sessões, redefina credenciais administrativas, rotacione chaves de API e tokens de integração e revise contas de pagamento, clientes e administradores. Verifique também o código-fonte e o pipeline de implantação em busca de persistência.
Conclusão
A CVE-2026-48356 deve ser tratada como prioridade em qualquer loja Adobe Commerce ou Magento Open Source afetada. A CISA confirmou sua presença no KEV, e o boletim da Adobe classifica a falha como crítica, sem exigir autenticação para exploração.
Administradores devem atualizar para as releases corrigidas, auditar extensões e endpoints de upload, separar arquivos enviados de conteúdo executável e investigar sinais de abuso. Como a vulnerabilidade pode afetar diretamente a integridade da loja, a resposta deve incluir rotação de credenciais e revisão de integrações quando houver suspeita de comprometimento.
Fontes primárias
Adobe: APSB26-73 — Security update available for Adobe Commerce.
CISA: Known Exploited Vulnerabilities Catalog.
CVE.org: CVE-2026-48356.