CISA memasukkan CVE-2026-48356 ke katalog Known Exploited Vulnerabilities (KEV) pada 27 Oktober 2026. Celah ini menyangkut Adobe Commerce dan Magento Open Source, dua platform toko online yang banyak dipakai pedagang, termasuk di Indonesia. Peneliti Sansec menyebutnya PolyShell, dan CISA menyatakan celah ini sudah dieksploitasi. Badan itu belum menyebut siapa pelakunya, dan penggunaan oleh kelompok ransomware tercatat sebagai tidak diketahui.
Apa yang terdampak
CVE-2026-48356 adalah celah unggah berkas tanpa pembatasan jenis (CWE-434) yang bisa berujung pada eksekusi kode. Adobe menilainya 9,6 di buletin APSB26-73, sedangkan catatan CVE dan NVD memberi skor 9,3. Selisihnya hanya pada dampak ketersediaan layanan.
Versi terdampak mencakup Adobe Commerce 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15, 2.4.5-p17, 2.4.4-p18 dan yang lebih lama. Magento Open Source terdampak pada 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15 dan yang lebih lama. Adobe Commerce B2B dan modul Adobe Commerce Events versi 1.6.0 sampai 1.20.0 juga masuk daftar.
Adobe menerbitkan perbaikannya pada Juli 2026 dalam bentuk rilis bertanda “2026-jul” untuk tiap cabang, misalnya 2.4.8-2026-jul, dan Commerce Events 1.21.0. Perbaikan terpisah hanya berlaku di patch level terbaru tiap cabang, jadi toko di patch level lama harus naik dulu. Sansec menyebut rilis 2.4.9 bulan Mei sudah memuat perbaikan, tetapi Adobe masih mencantumkan 2.4.9 sebagai terdampak, sehingga pengelola sebaiknya mengikuti Adobe.
Buletin Adobe masih menyatakan belum ada eksploitasi, tetapi catatan itu lebih tua daripada keputusan CISA. Sansec melaporkan percobaan serangan sejak Maret 2026, termasuk gelombang massal pada 30 Maret yang menanam web shell dan menyisipkan JavaScript ke halaman toko. Pada 24 Oktober, Sansec mengaitkan celah ini dengan kampanye yang memuat skrip penyerang dari blok konten CMS. Satu catatan: kaitan ke kampanye tersebut berasal dari laporan Sansec, dan Adobe maupun CISA belum merilis data korban.
Langkah yang perlu diambil pengelola toko
Pertama, pasang rilis 2026-jul sesuai cabang yang dipakai dan cek hasilnya dengan Commerce Version Tool dari Adobe. Pengguna Adobe Commerce di cloud bisa memakai Quality Patches Tool. Kedua, ingat bahwa patch tidak menghapus berkas yang sudah diunggah sebelumnya. Periksa folder pub/media/custom_options/ dan subfolder baru di assets/images/ untuk berkas yang tidak dikenal, termasuk gambar yang menyisipkan PHP. Blokir akses web ke folder custom_options di server.
Ketiga, cari skrip asing di tabel blok dan halaman CMS (cms_block dan cms_page), lalu tinjau akun admin yang tidak dikenal. Bila ada tanda penyusupan, ganti kata sandi database, admin, dan integrasi API setelah pembersihan. Daftar domain pemuat skrip dan nama berkas yang dicari ada di laporan Sansec dan ulasan Rescana pada sumber di bawah. Kasus serupa di platform toko online lain terlihat pada celah Drupal Commerce Core yang juga dieksploitasi.
Tenggat perbaikan bagi lembaga federal AS adalah 10 November 2026. Toko di Indonesia tidak terikat tenggat itu, tetapi patch sudah tersedia sejak Juli, jadi toko yang belum memasangnya sudah terpapar selama berbulan-bulan.
Sumber: Rescana dan Daily CyberSecurity. Gambar: Rescana.