Hoje, 27 de outubro de 2026, a CISA, agência de segurança cibernética do governo dos Estados Unidos, incluiu no seu catálogo KEV uma falha identificada como CVE-2026-48356. O catálogo KEV reúne vulnerabilidades que já estão sendo exploradas por criminosos ou que representam risco concreto, e a inclusão funciona como um alerta de prioridade máxima.

A falha afeta o Adobe Commerce e o Magento, plataformas usadas para criar e administrar lojas virtuais. Ela é classificada como um problema de upload irrestrito de arquivo de tipo perigoso, ou seja, o sistema aceita arquivos que não deveria aceitar. Pense em um porteiro que deixa entrar qualquer pacote, inclusive os que podem causar estragos. Segundo a CISA, isso pode resultar na execução de código arbitrário no contexto do usuário atual, o que pode dar acesso elevado ou controle sobre a conta ou a sessão da vítima.

Quem administra ou usa lojas com essas plataformas pode ser afetado. A CISA pede que os órgãos federais apliquem as mitigações indicadas pelo fabricante, seguindo a diretriz BOD 26-04 sobre priorização de atualizações de segurança com base em risco. Quando não houver mitigação disponível, a recomendação é suspender o uso do produto, e os responsáveis devem avaliar quais ativos estão expostos à internet.

O prazo final para essas ações é 10 de novembro de 2026. A CISA também cita um guia de triagem forense para investigar possíveis invasões. A fonte não informa se a falha já foi usada em campanhas de ransomware, apenas que essa informação é desconhecida. Para quem tem loja nessas plataformas, o caminho é seguir o comunicado da Adobe (boletim APSB26-73), aplicar as correções e manter os sistemas atualizados.