Badan keamanan siber Amerika Serikat, CISA, menambahkan CVE-2026-48356 ke katalog Known Exploited Vulnerabilities (KEV) pada 27 Oktober. Celah yang dijuluki PolyShell ini ada di Adobe Commerce dan Magento Open Source, dua platform yang banyak dipakai untuk toko online. The Hacker News melaporkan bahwa peneliti Sansec melihat penyerang sudah membobol “ratusan” toko lewat celah tersebut.
Apa yang terjadi
CVE-2026-48356 adalah celah unggah berkas berbahaya tanpa pembatasan jenis (CWE-434). Adobe memberinya skor CVSS 9,6, sedangkan catatan CVE dan NVD menyebut 9,3. Menurut buletin Adobe, penyerang tidak perlu login, tetapi eksploitasi membutuhkan interaksi pengguna.
Sansec mengamati pelaku menanam pemuat berbahaya lewat blok CMS Magento. Aktivitas itu dinilai berlangsung sejak setidaknya Juli 2025. Sansec tidak menyebut jumlah pasti toko yang terdampak, dan Adobe maupun CISA belum merilis daftar korban. Tenggat perbaikan bagi lembaga federal AS jatuh pada 10 November.
Adobe sebenarnya sudah menerbitkan buletin APSB26-73 pada 14 Juli dengan prioritas 2. Saat itu Adobe menulis tidak mengetahui adanya eksploitasi di dunia nyata. Catatan itu kini tertinggal oleh temuan Sansec dan keputusan CISA. Pekan ini CISA juga memasukkan celah Brotli CVE-2026-111497, yang sudah kami bahas di liputan Node2Shell.
Versi terdampak dan versi perbaikan
Adobe Commerce terdampak pada versi 2.4.9, serta 2.4.8-p5, 2.4.7-p10, 2.4.6-p15, 2.4.5-p17, dan 2.4.4-p18 ke bawah. Magento Open Source terdampak pada 2.4.9, serta 2.4.8-p5, 2.4.7-p10, dan 2.4.6-p15 ke bawah. Adobe Commerce B2B versi 1.5.3 serta 1.5.2-p5, 1.4.2-p10, 1.3.4-p17, dan 1.3.3-p18 ke bawah juga masuk daftar, begitu pula modul Adobe Commerce Events 1.6.0 sampai 1.20.0.
Versi yang sudah diperbaiki memakai akhiran 2026-jul, misalnya 2.4.9-2026-jul dan 2.4.6-2026-jul. Untuk Adobe Commerce Events, perbaikannya ada di versi 1.21.0. Adobe mencantumkan versi lengkap per lini di buletinnya.
Langkah yang perlu diambil pengelola toko
Pemilik toko perlu menerapkan rilis 2026-jul sesuai lini versinya, lalu memastikan pembaruan terpasang lewat alat pemeriksa versi dari Adobe. Menurut ringkasan Rescana, tambalan terpisah dari Adobe hanya berlaku di tingkat patch terbaru tiap lini, sehingga toko yang tertinggal harus naik versi dulu. Rescana adalah sumber pihak ketiga tunggal untuk detail ini, jadi cocokkan dengan dokumentasi Adobe.
Menambal saja tidak menghapus berkas yang sudah tertanam. Periksa berkas tak dikenal di folder media, cari skrip asing di blok dan halaman CMS, tinjau akun admin yang tidak dikenali, lalu ganti sandi database, admin, dan integrasi API setelah pembersihan. Toko yang belum sempat memperbarui sebaiknya menutup akses web ke folder unggahan sambil menunggu, meski langkah itu tidak menghentikan unggahan.
Sumber: The Hacker News, buletin Adobe APSB26-73, dan Rescana. Gambar: The Hacker News.