Veille sécuritéCMS & e-commerce
P1Critique
CISA a ajouté CVE-2026-48356 à son catalogue KEV le 2026-10-27, confirmant son exploitation active : la vulnérabilité permet l’envoi d’un fichier de type dangereux et peut mener à l’exécution de code. Les versions concernées et les correctifs sont détaillés dans le bulletin Adobe APSB26-73 ; appliquez les mises à jour ou mesures d’atténuation prescrites par Adobe.
Magento
IdentifiantCVE-2026-48356
GravitéCritique
Exploitationconfirmée dans la nature
CorrectifNon précisé dans les sources
Source : CISA KEV
Analyse technique
Téléversement non restreint de fichier de type dangereux (CWE-434). Le bulletin Adobe décrit l’impact comme une élévation de privilèges ; le catalogue KEV confirme l’exploitation.
Impact, versions et correctif
Événement datéÉvénement retenu : ajout au catalogue CISA KEV le 2026-10-27, dans la période demandée. La vulnérabilité elle-même avait été publiée antérieurement ; ce n’est pas une nouvelle divulgation.
ImpactExécution de code arbitraire possible dans le contexte de l’utilisateur courant, avec risque d’accès élevé ou de prise de contrôle de compte ou de session.
Versions affectéesAdobe Commerce : versions jusqu’à 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15, 2.4.5-p17 et 2.4.4-p18 ; Magento Open Source : versions jusqu’à 2.4.9, 2.4.8-p5, 2.4.7-p10 et 2.4.6-p15 ; Adobe Commerce B2B et Adobe Commerce Events également concernés selon APSB26-73.
Exploitation activeconfirmée dans la nature
PoC publicinconnu
CVSS9.3 · CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
EPSS30,58% · percentile 98,2%
Publication2026-07-14
Mise à jour2026-10-27
Action recommandée
Appliquer les correctifs ou mesures d’atténuation indiqués dans le bulletin Adobe APSB26-73 ; vérifier les installations exposées et leur mise à jour.
Sources
Priorisation DFS : P1 · 1 source(s).