Magento и Adobe Commerce: CVE-2026-48356, KEV, патч 2026-jul
Суть. CVE-2026-48356 — загрузка файла опасного типа без проверки (CWE-434), в классификации Adobe — повышение привилегий. Вектор по сети, без аутентификации, сложность низкая, нужно действие пользователя (UI:R), область воздействия расширяется (S:C). CVSS: Adobe 9.6 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L); NVD 9.3 (по данным ленты, вектор неизвестен). EPSS 59 % (перцентиль 99). CISA описывает последствие как выполнение кода «в контексте текущего пользователя» с возможным повышенным доступом к его учётной записи или сеансу.
Затронуто и исправлено (APSB26-73, платформы все):
| Продукт | Затронуто | Исправлено |
|---|---|---|
| Adobe Commerce | 2.4.9; 2.4.8-p5 и ниже; 2.4.7-p10 и ниже; 2.4.6-p15 и ниже; 2.4.5-p17 и ниже; 2.4.4-p18 и ниже | 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul, 2.4.5-2026-jul, 2.4.4-2026-jul |
| Adobe Commerce B2B | 1.5.3; 1.5.2-p5 и ниже; 1.4.2-p10 и ниже; 1.3.4-p17 и ниже; 1.3.3-p18 и ниже | 1.5.3-2026-jul, 1.5.2-2026-jul, 1.4.2-2026-jul, 1.3.4-2026-jul, 1.3.3-2026-jul |
| Magento Open Source | 2.4.9; 2.4.8-p5 и ниже; 2.4.7-p10 и ниже; 2.4.6-p15 и ниже | 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul |
| Adobe Commerce Events | 1.6.0–1.20.0 | 1.21.0 |
Сравнение: 2.4.8-p5 — уязвима, 2.4.8-2026-jul — исправлена. Для Open Source ветки 2.4.5 и 2.4.4 в бюллетене не названы; считать их защищёнными нельзя, статус неизвестен, исправления для них Adobe не указала: планируйте переход на поддерживаемую ветку.
Тот же патч закрывает ещё 13 CVE из бюллетеня, в том числе обходы авторизации без входа и выполнение кода через webhooks; эксплуатация отмечена только для CVE-2026-48356.
Эксплуатация. Запись в CISA KEV от 27.10.2026 (срок для госорганов США 10.11.2026; связь с вымогателями неизвестна). Эксплуатацию также отмечают CISA SSVC (через NVD) и ENISA EUVD (EUVD-2026-44420). Подробностей атак CISA не дала; о публичном PoC неизвестно. В бюллетене Adobe (страница обновлена 11.08.2026) сказано «не знаем об эксплуатации»: после записи KEV это устарело. Кампании Sansec против Magento доказанно с этой CVE не связаны.
Как проверить. Уязвима версия из столбца «Затронуто»; исправленной считается версия с суффиксом 2026-jul, более поздние сборки сверяйте с Release Notes KA-37421 по ссылке в бюллетене. Установленную версию смотрите в composer.lock и командой bin/magento --version; показывают ли они суффикс патча, в источниках не сказано. При сомнении считайте магазин непропатченным. У облачных и управляемых магазинов запросите подтверждение у провайдера.
Как исправить. Ставьте патч 2026-jul или новее для своей ветки по инструкции Adobe (Release Notes KA-37421; для Events — руководство «Upgrade Modules and Extensions» в бюллетене). Перед обновлением — резервная копия базы и файлов вне каталогов, доступных из интернета. Если версии закреплены (composer.lock, теги образов, сборки CI), смените закреплённую версию и пересоберите: это общая практика, Adobe шагов не описывает. Если обновление не встало, откатитесь из копии и обратитесь в поддержку Adobe. Проверка результата: версия с 2026-jul, магазин открывается и принимает заказ.
Если обновить нельзя. Официальных временных мер в бюллетене Adobe нет. Сторонний WAF патч не заменяет; насколько он защищает от этой уязвимости, неизвестно.
Признаки взлома и порядок действий. По описаниям кампаний против Magento (Sansec, вторично; для этой CVE не подтверждены): незнакомый JavaScript в CMS-страницах и статических блоках, незнакомые PHP-файлы в каталогах магазина, прежде всего в каталогах загрузок, скрипты с чужого домена. Нашли признаки: изолируйте магазин, сохраните копию для разбора, смените пароли администраторов и ключи, проверьте список администраторов и токены доступа. Копии, сделанные после выхода уязвимости, чистыми не считайте. Патч не убирает уже оставленный доступ. При платёжных данных уведомите провайдера. Что именно успели получить атакующие, неизвестно.
Источники. Бюллетень Adobe APSB26-73: https://www.adobe.com/trust/security/products/commerce/apsb26-73.html. Каталог CISA KEV, запись от 27.10.2026. Номера реестров: CVE-2026-48356, EUVD-2026-44420.