CVE-2026-48356: falla critica in Adobe Commerce, ora in KEV CISA

La CVE-2026-48356 riguarda Adobe Commerce ed è classificata come upload non controllato di file con tipo pericoloso. Secondo la descrizione ufficiale NVD, lo sfruttamento può portare a esecuzione di codice arbitrario nel contesto dell'utente corrente, con possibile accesso elevato all'account o alla sessione della vittima. L'attacco richiede interazione umana: la vittima deve visitare un URL creato appositamente o interagire con una pagina web compromessa.

La gravità dichiarata è critica, con CVSS 9,3 e scope cambiato, un impatto capace di estendersi oltre il componente vulnerabile. Pubblicata su NVD il 14 luglio 2026, è stata inserita nel catalogo KEV di CISA il 27 ottobre 2026, con scadenza di rimedio al 10 novembre 2026. Si osservano 13 post social nelle ultime 24 ore, segnale non verificato di attenzione della community; nessun repository con exploit dichiarato risulta nei dati disponibili.

Per i team che gestiscono Adobe Commerce, la priorità è verificare lo stato delle installazioni e applicare le patch ufficiali Adobe non appena disponibili, dato l'inserimento in KEV con scadenza stretta. È utile rafforzare i controlli sugli upload, limitare i privilegi di chi può caricare file e formare il personale a non interagire con URL o pagine sospette, poiché l'exploitation richiede interazione utente. Monitorare gli avvisi ufficiali Adobe e CISA resta la misura più affidabile.