Adobe Commerce és a Magento APSB26-73 közleménye javítja a kihasznált fájlfeltöltési és egyéb sérülékenységeket (CVE-2026-48356)

Mi történt

A CVE-2026-48356 korlátozás nélküli fájlfeltöltési sérülékenység (CWE-434) az Adobe Commerce rendszerben. A támadó ezt kihasználva kódot hajthat végre az aktuális felhasználó környezetében, így potenciálisan magasabb szintű hozzáférést vagy az áldozat fiókja, illetve munkamenete feletti irányítást szerezhet. A kihasználáshoz felhasználói interakció szükséges: az áldozatnak meg kell látogatnia egy kifejezetten erre a célra kialakított URL-t, vagy interakcióba kell lépnie egy kompromittált weboldallal. A CVSS 3.1 szerinti pontszám 9,3 (kritikus), a hatókör pedig megváltozott.

A CISA felvette a CVE-2026-48356-ot az ismerten kihasznált sérülékenységek (Known Exploited Vulnerabilities, KEV) katalógusába, és a CISA SSVC szerinti besorolása aktív kihasználást jelez. Az Adobe nem tett közzé saját nyilatkozatot a kihasználásról.

Az APSB26-73 biztonsági közlemény az alábbi további CVE-azonosítókat is tartalmazza: CVE-2026-48358 (nem megfelelő kódolás vagy escape-elés), CVE-2026-47994 és CVE-2026-47995 (tárolt cross-site scripting, XSS), CVE-2026-47988, CVE-2026-47984, CVE-2026-47996 és CVE-2026-47997 (helytelen jogosultság-ellenőrzés), CVE-2026-47992 (SQL-injekció), valamint CVE-2026-48000 (nyílt átirányítás). Ezek a további CVE-azonosítók nem szerepelnek a CISA KEV katalógusában.

Kit érint

Az érintett verziók a következők: Adobe Commerce esetében a 2.4.9, a 2.4.8-p5, a 2.4.7-p10, a 2.4.6-p15, a 2.4.5-p17 és a 2.4.4-p18 verzióig bezárólag; Adobe Commerce B2B esetében az 1.5.3, az 1.5.2-p5, az 1.4.2-p10, az 1.3.4-p17 és az 1.3.3-p18 verzióig bezárólag; Magento Open Source esetében a 2.4.9, a 2.4.8-p5, a 2.4.7-p10 és a 2.4.6-p15 verzióig bezárólag; Adobe Commerce Events esetében pedig az 1.20.0 verzióig bezárólag. Az üzemeltetőknek ellenőrizniük kell, hogy az általuk használt verzió szerepel-e ezek között. A javított verziók az alábbiakban láthatók.

Mit kell most tenni

1. Telepítse az Adobe által kiadott javított verziókat: Adobe Commerce 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul, 2.4.5-2026-jul és 2.4.4-2026-jul; Adobe Commerce B2B 1.5.3-2026-jul, 1.5.2-2026-jul, 1.4.2-2026-jul, 1.3.4-2026-jul és 1.3.3-2026-jul; Magento Open Source 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul és 2.4.6-2026-jul; valamint Adobe Commerce Events 1.21.0.
2. Kezelje kiemelten a CVE-2026-48356 azonosítójú sérülékenységet. A CISA KEV-katalógusában megadott határidő 2026. november 10. A CISA által előírt teendő a gyártói kockázatcsökkentő intézkedések alkalmazása, a BOD 26-04 irányelv követése, valamint a termék használatának beszüntetése, ha az enyhítések nem érhetők el.
3. Tekintse át a hivatkozásokban szereplő, Sansec által közölt kompromittálódásra utaló jeleket (IoC), és ellenőrizze a korábbi kihasználás esetleges jeleit. A biztonsági közlemény nem tett közzé kerülő megoldást.

Hogyan észlelhető

Az Adobe biztonsági közleménye nem sorol fel kompromittálódásra utaló jeleket (IoC). A hivatkozások között szerepelnek a Sansec kutatási oldalai, amelyek a Magento CMS block loader tevékenységére vonatkozó kompromittálódásra utaló jeleket tartalmaznak; ezek alapján a biztonsági csapatok ellenőrizhetik a kapcsolódó kihasználást. Mivel a CISA KEV-katalógusa aktív kihasználást tart nyilván, a CVE-2026-48356 azonosítójú sérülékenységet a detektálás szempontjából is kiemelten kell kezelni.

A javításon túl

A javításon túl a CISA által a CVE-2026-48356 kapcsán jelzett aktív kihasználás miatt az észlelés és a reagálás válik az elsődleges védelmi vonallá. Ehhez nyújt támogatást a Menedzselt kiberbiztonsági felügyelet (MDR) és az Incidenskezelés (retainer) szolgáltatásunk. A közleményben szereplő, hitelesítő adatok nélkül a hálózaton keresztül elérhető, helytelen jogosultság-ellenőrzéssel kapcsolatos hibák esetében a Virtuális CISO szolgáltatás (vCISO) segíthet feltárni az elérhető szolgáltatásokat vagy a nyitott portokat, még mielőtt azokat kihasználnák.