CVE-2026-48356: carga de archivos peligrosos sin restricción en Adobe Commerce y Magento explotada activamente

CVE-2026-48356: ejecución de código en Adobe Commerce y Magento explotada activamente

CISA incorporó el CVE-2026-48356 al catálogo Known Exploited Vulnerabilities (KEV) el 27 de octubre de 2026, lo que confirma explotación activa en entornos reales. La falla afecta a Adobe Commerce y Magento, plataformas de comercio electrónico ampliamente desplegadas, y tiene una puntuación CVSS 9.3 (CRÍTICA) según el enriquecimiento de NVD. El uso en campañas de ransomware figura como desconocido.

Análisis Técnico

La vulnerabilidad se clasifica como CWE-434: carga sin restricciones de archivos de tipo peligroso. Según la descripción de CISA, un atacante puede lograr ejecución arbitraria de código en el contexto del usuario actual, con posible obtención de acceso elevado o control sobre la cuenta o sesión de la víctima.

Vector de Ataque

Este tipo de falla ocurre cuando la aplicación no valida correctamente la extensión, el contenido o el destino de un archivo subido. El patrón habitual de explotación es:

Subir un archivo ejecutable (por ejemplo, un script del lado del servidor) a una ruta accesible por la web.
Invocar ese archivo para ejecutar código en el servidor de la tienda.
Establecer persistencia (webshells) y escalar privilegios o robar sesiones.

Los detalles de condiciones de explotación (autenticación requerida, endpoint concreto) deben consultarse en el boletín del fabricante APSB26-73; este artículo no los asume.

Impacto Operacional y de Seguridad

Ejecución remota de código sobre la tienda y su servidor.
Compromiso de datos de clientes, pedidos y credenciales administrativas.
Riesgo de skimming (inyección de código en el checkout) y fraude de pagos, riesgo habitual en plataformas Magento comprometidas.
Movimiento lateral hacia la red interna desde el servidor web.

Productos Afectados

Adobe Commerce y Magento (Adobe). Las versiones afectadas y corregidas están publicadas en el boletín APSB26-73 de Adobe; verifique allí su rama y versión exactas.

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Aplicar las actualizaciones y mitigaciones indicadas por Adobe en APSB26-73 con prioridad máxima.
Cumplir con la directiva BOD 26-04 y los requisitos de triaje forense de CISA. Fecha límite para agencias FCEB: 2026-11-10.
Evaluar la exposición a internet de cada activo; restringir el acceso a rutas administrativas y de carga de archivos (WAF, listas de acceso).
Buscar indicadores de compromiso: archivos .php o ejecutables nuevos en directorios de media/uploads, cambios en plantillas y scripts de checkout, cuentas administrativas nuevas.
Si no hay mitigación disponible, discontinuar el uso del producto según CISA.
Rotar credenciales y claves de sesión si se detecta compromiso.