Már kihasználják az Adobe Commerce és a Magento kritikus feltöltési hibáját
A CISA szerint már támadásokban használják a webáruházi rendszerek CVE-2026-48356 jelű sérülékenységét. A hiba tetszőleges kód futtatásához vezethet; az amerikai szövetségi szerveknek előírt javítási határidő 2026. november 10.
Fontos
Aktívan kihasznált, kritikus: CVSS 9.3
Veszélyes fájl feltöltésével nyílhat út a támadáshoz
A sérülékenység veszélyes típusú fájl korlátozás nélküli feltöltését teszi lehetővé. Ennek következtében a támadó az aktuális felhasználó jogosultságaival futtathat tetszőleges kódot, és magasabb szintű hozzáférést szerezhet. Az áldozat fiókja vagy munkamenete felett is átveheti az irányítást.
A kihasználáshoz felhasználói közreműködés szükséges: az áldozatnak egy erre kialakított rosszindulatú hivatkozást kell megnyitnia, vagy egy kompromittált weboldallal kell interakcióba lépnie.
Több Adobe Commerce termék és a Magento Open Source is érintett
Az érintett termékek között az Adobe Commerce, az Adobe Commerce B2B, a Magento Open Source és az Adobe Commerce Events szerepel. A rendelkezésre álló forrás konkrét verziókat és javított kiadásszámot nem sorol fel.
A hiba CVSS-értéke 9,3, vagyis kritikus a műszaki súlyossága. Az aktív kihasználást ettől külön jelzi, hogy a CISA 2026. október 27-én felvette a bizonyítottan kihasznált sérülékenységek listájára. A zsarolóvírusos támadásokban való felhasználását ismeretlenként tartják nyilván.
A CISA a gyártói intézkedések alkalmazását írja elő
A CISA a gyártó utasításai szerinti védelmi intézkedések alkalmazását kéri. Előírása az egyes rendszerek internetes kitettségének értékelésére is kitér; ha nincs elérhető védekezés, a termék használatának megszüntetését írja elő.
A november 10-i határidő az amerikai szövetségi szerveknek szól, nem a magyar webáruházak számára előírt javítási határnap.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum