Alerta de Seguridad: Adobe Commerce y Magento - Carga de archivos sin restricción

// resumen_ejecutivo

CVE-2026-48356 (CVSS 9.3): carga de archivos peligrosos en Adobe Commerce/Magento permite ejecución de código. Explotada activamente (CISA KEV). Plazo FCEB 2026-11-10.

// descripcion_detallada

CVE-2026-48356 es una vulnerabilidad de carga sin restricciones de archivos de tipo peligroso (CWE-434) en Adobe Commerce y Magento. Puede resultar en ejecución arbitraria de código en el contexto del usuario actual, con posible acceso elevado o control de la cuenta o sesión de la víctima.

CISA la añadió al catálogo KEV el 2026-10-27 por explotación activa. CVSS 9.3 (CRÍTICA). Uso en ransomware: desconocido.

// vectores_de_ataque

Red: carga de archivo malicioso que deriva en ejecución remota de código (RCE) en el servidor de la tienda.

// versiones_afectadas

Adobe Commerce y Magento: ver boletín APSB26-73 de Adobe

// indicadores_de_compromiso 1 tipo

CVEs (1)

CVE-2026-48356

// recomendaciones_de_mitigacion

Aplicar de inmediato las actualizaciones y mitigaciones de Adobe (APSB26-73).
Cumplir BOD 26-04 y los requisitos de triaje forense de CISA; plazo FCEB 2026-11-10.
Revisar archivos ejecutables nuevos en directorios de uploads/media y cuentas administrativas nuevas.
Restringir exposición de rutas administrativas y de carga; si no hay mitigación, discontinuar el uso.