何が起きたか
CISAは2026年10月27日にCVE-2026-48356を既知の悪用された脆弱性（KEV）カタログに追加し、実地での悪用が確認されています。Adobe Commerce/Magentoには、制限のないファイルアップロードがあり、現在のユーザーのコンテキストで任意のコード実行につながる可能性があります。
なぜ重要か
KEVカバレッジルールとMythos以降の時間対悪用の圧縮に基づき、このKEV追加はAIコアではないものの表面化されています。これは、MagentoストアフロントがAI/チャットボット機能の前面にある場合にのみAIデプロイメントに関係します。主なリスクは標準的なサーバーサイドWeb層であり、AI層ではありません。
攻撃経路
危険なタイプのファイルの無制限アップロード（CWE-434）により、現在のユーザーのコンテキストで任意のコード実行が可能になり、被害者のアカウント/セッションへのアクセスを昇格させます。実地での悪用が確認され、2026年10月27日にCISA KEVに追加されました。
影響を受けるシステム
Adobe Commerce / Magento（APSB26-73による更新）
緩和策
Adobe APSB26-73のパッチを適用してください。アップロードタイプを制限し、ファイル内容を検証してください。KEVステータスを考慮して、悪用後の調査を行ってください。