CVE-2026-48356 – Upload non limitato in Adobe Commerce e Magento

Panoramica

Adobe Commerce e Magento contengono una falla che consente a un attaccante di caricare file di tipo pericoloso senza alcun controllo. Il file caricato può essere eseguito sul server, provocando l'esecuzione di codice arbitrario nel contesto dell'utente che ha effettuato l'upload. Questo scenario può portare a un'escalation di privilegi o al pieno controllo della sessione dell'utente compromesso.

Impatto potenziale

  • Esecuzione di codice arbitrario: l'attaccante può far girare script o binari sul server.
  • Escalation di privilegi: se l'utente che effettua l'upload ha privilegi limitati, l'attaccante può sfruttare la vulnerabilità per ottenere privilegi più elevati.
  • Compromissione della sessione: l'accesso non autorizzato alle sessioni degli utenti può consentire il furto di dati sensibili o l'esecuzione di azioni fraudolente.

Condizioni di sfruttamento note

La vulnerabilità è sfruttabile da chiunque riesca a inviare un file al sistema di upload di Adobe Commerce o Magento. Non sono richieste credenziali amministrative; il rischio è più elevato per le installazioni esposte a internet o per quelle che permettono upload da utenti non privilegiati.

Mitigazioni consigliate

  1. Applicare le mitigazioni del vendor: seguire le istruzioni di Adobe per limitare i tipi di file accettati e per implementare controlli di validazione più severi.
  2. Conformità a BOD 26‑04: valutare l'esposizione internet di tutti gli asset e applicare le patch secondo le linee guida CISA per la priorità degli aggiornamenti.
  3. Disattivare l'upload se non necessario: per le installazioni che non richiedono la funzionalità di upload, considerare la disattivazione completa del servizio.
  4. Monitorare i log di upload: implementare un monitoraggio continuo per identificare tentativi di upload sospetti.
  5. Segnalare e documentare: seguire le “Forensics Triage Requirements” di CISA per garantire una risposta forense adeguata in caso di incidente.

Riferimenti

  • CISA – Catalogo delle vulnerabilità sfruttate: https://www.cisa.gov/known-exploited-vulnerabilities-catalog#CVE-2026-48356

Articolo redatto per bigbastik.it, fonte CISA.