Il 27 ottobre 2026 CISA ha inserito nel catalogo delle vulnerabilità sfruttate la CVE-2026-48356 di Adobe Commerce e Magento Open Source. È una falla di caricamento di file senza restrizioni (CWE-434) corretta il 14 luglio con il bollettino APSB26-73. Il bollettino di Adobe dice ancora che l’azienda non è a conoscenza di exploit: è stato scritto prima della conferma di CISA. Chi gestisce un negozio online e non ha installato le release di luglio deve farlo ora.
In breve
- Chi è colpito: Adobe Commerce, Adobe Commerce B2B e Magento Open Source senza le release “-2026-jul” o successive.
- Gravità: critica; CVSS 9,6 per Adobe, 9,3 su NVD.
- Sfruttata: sì, catalogo CISA KEV dal 27 ottobre 2026 (scadenza federale 10 novembre).
- Cosa fare: applicare la release 2026-jul del proprio ramo, poi cercare file PHP e amministratori estranei.
Le versioni colpite e quelle corrette
| Prodotto | Versioni colpite | Versioni corrette |
|---|---|---|
| Adobe Commerce | 2.4.9; 2.4.8-p5, 2.4.7-p10, 2.4.6-p15, 2.4.5-p17, 2.4.4-p18 e precedenti | 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul, 2.4.5-2026-jul, 2.4.4-2026-jul |
| Adobe Commerce B2B | 1.5.3; 1.5.2-p5, 1.4.2-p10, 1.3.4-p17, 1.3.3-p18 e precedenti | 1.5.3-2026-jul, 1.5.2-2026-jul, 1.4.2-2026-jul, 1.3.4-2026-jul, 1.3.3-2026-jul |
| Magento Open Source | 2.4.9; 2.4.8-p5, 2.4.7-p10, 2.4.6-p15 e precedenti | 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul |
Lo stesso bollettino corregge 14 vulnerabilità in tutto, otto critiche, tra cui la CVE-2026-48358 (9,1, esecuzione di codice tramite webhook, richiede autenticazione) e la CVE-2026-47988 (8,6, aggiramento delle autorizzazioni senza autenticazione).
Due punteggi e un dettaglio sul vettore
Adobe assegna 9,6 con impatto classificato come escalation di privilegi; NVD riporta 9,3, e la descrizione ufficiale parla di esecuzione di codice. Entrambi i vettori indicano che serve un’interazione: la vittima deve aprire un URL costruito ad arte o una pagina compromessa. In un negozio online, la vittima che conta è spesso un amministratore del pannello. CISA non ha indicato chi sfrutta la falla, né se sia usata dai gruppi ransomware. Alcune fonti secondarie la collegano a campagne contro i negozi Magento note con altri nomi: è un collegamento che non abbiamo potuto confermare. Da non confondere con la CVE-2026-75650, altra falla Magento entrata nel catalogo KEV a settembre.
Cosa fare subito
- Verificate la versione installata dalla cartella del negozio.
- Applicate la release 2026-jul del vostro ramo, o successiva, prima in staging e poi in produzione.
- Cercate file PHP dove non dovrebbero esserci, a partire da
pub/media/e dalle cartelle di upload. - Controllate gli utenti amministratori e gli script aggiunti al checkout: il furto di carte di pagamento con codice iniettato è l’uso più comune di un negozio compromesso.
- Se il negozio è gestito da un’agenzia, chiedete conferma scritta dell’aggiornamento e della data in cui è stato fatto.
bin/magento --version
find pub/media -type f -name '*.php'
find pub/media -type f -newermt 2026-07-14 -name '*.ph*'Attenzione: se trovate file sospetti o amministratori sconosciuti, l’aggiornamento non basta. Isolate il negozio, cambiate tutte le credenziali (pannello, database, chiavi API dei pagamenti) e valutate gli obblighi di notifica al Garante se sono coinvolti dati dei clienti.
La nostra lettura
Tre mesi e mezzo tra patch e sfruttamento confermato sono tanti, eppure per molti negozi non bastano: Magento si aggiorna male, tra estensioni incompatibili e agenzie che intervengono a chiamata. Il bollettino di Adobe fermo a “nessun exploit noto” è un problema in più, perché chi lo legge adesso ne sottovaluta il rischio. Chi vende online con WordPress ha un problema analogo da chiudere: https://hardwarfare.it/sicurezza-informatica/vulnerabilita-patch/wordpress-7-1-4-cve-2026-119977-rce-aggiornamento/. Altre allerte in https://hardwarfare.it/category/sicurezza-informatica/vulnerabilita-patch/.
Fonti
Immagine di copertina: Adobe Building.jpg di Mountain, licenza CC BY-SA 3.0, via Wikimedia Commons; elaborazione grafica HardWarfare.
Articolo redatto con il supporto di strumenti di intelligenza artificiale e verificato dalla redazione. Come usiamo l'AI · Come lavoriamo
