Apa yang terjadi
CISA menambahkan CVE-2026-48356 ke katalog Known Exploited Vulnerabilities pada 2026-10-27 dengan eksploitasi di lapangan yang terkonfirmasi. Adobe Commerce/Magento mengandung unggahan file tanpa batasan yang dapat menyebabkan eksekusi kode arbitrer dalam konteks pengguna saat ini.
Mengapa penting
Sesuai aturan cakupan KEV dan kompresi waktu-ke-eksploitasi pasca-Mythos, penambahan KEV ini disorot meskipun bukan inti AI. Ini relevan untuk penerapan AI hanya jika toko Magento menjadi frontend untuk fitur AI/chatbot; risiko utamanya adalah tier Web standar di sisi server, bukan lapisan AI.
Vektor serangan
Unggahan file dengan tipe berbahaya tanpa batasan (CWE-434) yang memungkinkan eksekusi kode arbitrer dalam konteks pengguna saat ini, untuk meningkatkan akses ke akun/sesi korban. Terkonfirmasi digunakan di lapangan; ditambahkan ke CISA KEV pada 2026-10-27.
Sistem yang terdampak
Adobe Commerce / Magento (pembaruan sesuai APSB26-73)
Mitigasi
Terapkan patch Adobe APSB26-73; batasi tipe unggahan dan validasi konten file; selidiki kemungkinan eksploitasi lanjutan mengingat status KEV.