Magento CVE-2026-48356: июльский патч, который в октябре уже эксплуатируют
Adobe закрыла CVE-2026-48356 ещё 14 июля 2026 в бюллетене APSB26-73. К концу октября ошибка в каталоге CISA. Пароль администратора не нужен, но бюллетень требует действия человека.
В июле Adobe писала, что об эксплуатации CVE-2026-48356 ей неизвестно. Это было правдой на дату бюллетеня и перестало быть правдой к осени: ошибка попала в каталог известных эксплуатируемых. Магазины, которые пропустили июльский пакет, теперь в том списке, а не в списке «когда-нибудь на витрине». Оценка Adobe - 9.6. Класс - загрузка файла опасного типа. Итог в их таблице - повышение привилегий. Аутентификация не требуется, зато требуется действие пользователя. Это не «любой гость сам заливает шелл в один запрос», и это не повод откладывать пакет.
Какая сборка считается закрытой
Для своей линейки нужен июльский суффикс 2026-jul. Adobe Commerce: с 2.4.4-2026-jul по 2.4.9-2026-jul. Magento Open Source: с 2.4.6-2026-jul по 2.4.9-2026-jul. Commerce B2B - июльские сборки своей ветки, модуль Events - 1.21.0. Более поздние бюллетени Adobe за август и сентябрь эту ошибку не отменяют: если июля на сервере нет, октябрьский каталог CISA относится к вам. Номер в подвале темы магазина версию ядра не показывает.
После обновления имеет смысл глазами посмотреть каталоги, куда магазин принимает файлы от посетителей. Патч не удаляет то, что уже лежит. И не смешивайте эту заметку с ошибками PHP: Magento на старом PHP получает оба разговора сразу.
Связанные услуги Lexora
Магазин живёт на сборке «ещё до июля»
Сверим версию Commerce или Magento с APSB26-73 и заодно посмотрим, не осталась ли рядом старая PHP.