Upload de arquivo perigoso sem restrição em Adobe Commerce and Magento

Resumo

Foi divulgada uma vulnerabilidade em Adobe Commerce and Magento do tipo upload de arquivo perigoso sem restrição. A gravidade é crítica, com nota CVSS 9,3.

Há evidência de exploração ativa: a agência americana CISA incluiu a falha no catálogo KEV em 27 out 2026.

O modelo EPSS estima 59,1% de chance de exploração nos próximos 30 dias.

Versões afetadas

• Adobe Commerce: até 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15, 2.4.5-p17, 2.4.4-p18
• Adobe Commerce B2B: até 1.5.3, 1.5.2-p5, 1.4.2-p10, 1.3.4-p17, 1.3.3-p18
• Magento Open Source: até 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15
• Adobe Commerce Events: até 1.20.0

Segundo o registro oficial do CVE. Confira a versão exata com o fabricante.

O que fazer

1. Verifique se a sua empresa usa Adobe Commerce and Magento e em qual versão.
2. Aplique a atualização de segurança do fabricante (veja as referências abaixo).
3. Se não der para atualizar agora, reduza a exposição, por exemplo restringindo o acesso pela internet. Isso não substitui a correção.
4. Como a falha já está sendo explorada, procure sinais de comprometimento nos sistemas que ficaram expostos.

Linha do tempo das fontes

1. 27 out 2026 CISA KEVoficial Incluída no catálogo KEV: exploração ativa confirmada

Descrição oficial CVE.org, em inglês

Adobe Commerce is affected by an Unrestricted Upload of File with Dangerous Type vulnerability that could result in arbitrary code execution in the context of the current user, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.

Referências

• CVE-2026-48356 no CVE.org
• https://helpx.adobe.com/security/products/magento/apsb26-73.html