La CISA, l’agenzia statunitense per la sicurezza informatica, ha inserito nel suo catalogo delle vulnerabilità sfruttate attivamente (KEV) la falla CVE-2026-48356 di Adobe Commerce e Magento Open Source. Questa vulnerabilità Adobe Commerce era stata corretta a luglio 2026, ma ora risultano prove di sfruttamento reale. Le agenzie federali statunitensi devono applicare le correzioni entro il 10 novembre 2026. Il 27 ottobre la CISA ha aggiunto al catalogo anche la falla CVE-2026-111497 della libreria di compressione Brotli di Google.
La vulnerabilità Adobe Commerce CVE-2026-48356
Si tratta di un caricamento di file senza restrizioni sul tipo (CWE-434). Secondo il record CVE, la falla può portare all’esecuzione di codice arbitrario nel contesto dell’utente corrente e al controllo del suo account o della sessione; per sfruttarla serve che la vittima visiti un URL creato ad arte o interagisca con una pagina compromessa. Adobe la classifica come critica, con punteggio CVSS 9.6 nel bollettino APSB26-73, mentre il record CVE riporta 9.3.
Nel bollettino, pubblicato il 14 luglio 2026, Adobe dichiarava di non essere a conoscenza di attacchi. L’inserimento nel catalogo KEV indica che la situazione è cambiata: la CISA aggiunge una falla solo quando ha prove di sfruttamento attivo. Non sono stati resi noti dettagli sugli attacchi né sui responsabili.
Versioni coinvolte e correzioni
- Adobe Commerce: vulnerabili la 2.4.9, la 2.4.8-p5 e precedenti, la 2.4.7-p10, la 2.4.6-p15, la 2.4.5-p17 e la 2.4.4-p18 e precedenti; corrette le release 2026-jul di ciascun ramo (ad esempio 2.4.9-2026-jul).
- Magento Open Source: vulnerabili la 2.4.9, la 2.4.8-p5, la 2.4.7-p10 e la 2.4.6-p15 e precedenti; corrette le release 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul e 2.4.6-2026-jul.
- Adobe Commerce B2B: corrette le release 2026-jul dei rami 1.5.3, 1.5.2, 1.4.2, 1.3.4 e 1.3.3.
- Adobe Commerce Events: vulnerabili le versioni dalla 1.6.0 alla 1.20.0, corretta la 1.21.0.
Brotli e le altre falle sotto attacco
La seconda falla aggiunta al catalogo, CVE-2026-111497, riguarda il decodificatore Brotli: un flusso compresso costruito ad arte può corrompere la memoria, far trapelare dati sensibili, bloccare il servizio o potenzialmente eseguire codice. La correzione è nella versione 1.2.1 della libreria. Ne avevamo parlato a proposito delle nuove build di PHP per Windows e dell’aggiornamento d’emergenza di .NET. Anche per questa falla la scadenza federale è il 10 novembre.
Cosa devono fare i gestori di negozi online
- Verificare la versione di Adobe Commerce o Magento Open Source in uso e installare la release 2026-jul del proprio ramo, o una successiva.
- Aggiornare anche le estensioni Adobe Commerce Events alla 1.21.0, se presenti.
- Controllare le cartelle di caricamento dei file e i file recenti sul server alla ricerca di script o contenuti eseguibili sospetti.
- Ricordare agli amministratori di non aprire link inattesi mentre sono collegati al pannello del negozio, visto che lo sfruttamento richiede un’interazione dell’utente.
Fonti: CISA, Known Exploited Vulnerabilities Catalog, Adobe, APSB26-73, CVE.org, CVE-2026-48356, NVD, CVE-2026-48356.
