CISA zaradila chybu PolyShell v Magente medzi aktívne zneužívané zraniteľnosti
CISA zaradila kritickú chybu CVE-2026-48356 v Adobe Commerce a Magento Open Source do katalógu aktívne zneužívaných zraniteľností. Opravy sú dostupné od júla.
PolyShell v Magente, kritická zraniteľnosť evidovaná ako CVE-2026-48356, pribudla 27. októbra 2026 do katalógu Known Exploited Vulnerabilities (KEV) americkej agentúry CISA. Zaradenie znamená, že CISA má dôkaz o zneužívaní chyby v praxi. Týka sa platforiem Adobe Commerce, Adobe Commerce B2B a Magento Open Source.
Adobe chybu opravilo už 14. júla 2026 v bezpečnostnom bulletine APSB26-73. Prevádzkovatelia, ktorí ešte nenasadili opravené júlové buildy pre svoju podporovanú vetvu produktu, by mali aktualizáciu riešiť prioritne.
PolyShell v Magente umožňuje nebezpečný upload
Adobe klasifikuje CVE-2026-48356 ako kritickú chybu typu CWE-434, teda problém s nahratím nebezpečného typu súboru. Zraniteľnosť má skóre CVSS 9.6. Nevyžaduje autentifikáciu, no podľa výrobcu vyžaduje interakciu používateľa. Adobe uvádza dopad v kategórii eskalácie oprávnení.
Výskumníci zo spoločnosti Sansec označili chybu názvom PolyShell. Podľa ich analýzy sa problém týka nahrávania súborov cez REST API a útoky pozorovali už v marci 2026. Možnosť úplného vzdialeného spúšťania kódu však závisí aj od konfigurácie webového servera; samotné zaradenie do KEV neurčuje presný spôsob úspešného útoku v konkrétnom prostredí.
V júlovom bulletine Adobe uvádzalo, že o zneužití chyby v praxi nevedelo. Zápis CISA z 27. októbra tento stav prekonáva, pretože potvrdzuje existenciu zneužitia. CISA však nezverejnila technické podrobnosti konkrétnych útokov, rozsah napadnutých obchodov ani indikátory kompromitácie.
Opravy sú dostupné od júla
Adobe zahrnulo opravy do júlových buildov pre podporované vetvy Adobe Commerce, Adobe Commerce B2B a Magento Open Source. Prevádzkovatelia by mali overiť používanú verziu a porovnať ju s opravenými verziami uvedenými v APSB26-73. Pri internetovo dostupných e-shopoch je dôležité neodkladať nasadenie aktualizácie len preto, že útok nebol v ich prostredí zaznamenaný.
Sansec zároveň odporúča kontrolu uploadových adresárov na podozrivé súbory. Ide o praktický krok najmä pre organizácie, ktoré mali zraniteľnú verziu nasadenú v období pozorovaných útokov. Bez verejných indikátorov kompromitácie však takáto kontrola sama osebe neposkytuje úplný obraz o možnom zásahu.
Prečo je chyba dôležitá pre e-shopy
Adobe Commerce a Magento Open Source sú platformy nasadzované na verejne dostupných elektronických obchodoch, ktoré môžu spracúvať zákaznícke a platobné údaje. Chyba v mechanizme uploadu môže útočníkovi umožniť vložiť škodlivý obsah. V závislosti od konfigurácie následne môže viesť k prevzatiu účtu, relácie alebo serverového prostredia.
Podstatné je, že nejde len o teoreticky hodnotenú zraniteľnosť. Katalóg KEV je určený pre chyby, pri ktorých CISA eviduje zneužitie v praxi. Prevádzkovatelia neopravených inštalácií by preto mali popri aktualizácii posúdiť aj stav súborov nahraných do systému a vlastné bezpečnostné záznamy.
Čo sledovať ďalej
Ďalšie informácie môžu priniesť CISA, Adobe alebo iné dôveryhodné autority, ak zverejnia indikátory kompromitácie či detaily kampane. Zatiaľ nie je verejne potvrdený rozsah útokov ani počet zasiahnutých obchodov. Relevantné budú aj prípadné potvrdenia incidentov alebo únikov, ktoré by boli priamo spojené s CVE-2026-48356.
Zdroje
- CISA Known Exploited Vulnerabilities Catalog – Potvrdzuje zaradenie CVE-2026-48356 do KEV 27. októbra 2026 a požiadavku aplikovať mitigácie výrobcu.
- Adobe Security Bulletin APSB26-73 – Potvrdzuje povahu chyby, hodnotenie CVSS 9.6, dotknuté produkty a opravené verzie vydané 14. júla 2026.
- Sansec: PolyShell – Poskytuje technický kontext REST API, popis pozorovaných útokov a odporúčania na kontrolu kompromitácie.
- NIST National Vulnerability Database – Nezávisle eviduje CVE, dotknuté konfigurácie a odkazuje na bulletin Adobe.
Overené a aktualizované: 28. 10. 2026 06:19
