事件经过
CISA 于 2026-10-27 将 CVE-2026-48356 添加到已知被利用漏洞目录，并确认存在野外利用。Adobe Commerce/Magento 包含一个不受限制的文件上传，可能导致以当前用户上下文执行任意代码。
影响分析
根据 KEV 覆盖规则以及后神话时代的时间到利用压缩，此 KEV 添加会被披露，即使它不是 AI 核心。它仅对 Magento 商店前端支持 AI/聊天机器人功能的 AI 部署有影响；主要风险是标准服务器端 Web 层，而非 AI 层。
攻击途径
危险类型文件的不受限制上传（CWE-434），能够以当前用户上下文执行任意代码，从而提升对受害者账户/会话的访问权限。已确认野外利用；于 2026-10-27 添加到 CISA KEV。
受影响系统
Adobe Commerce / Magento（根据 APSB26-73 更新）
缓解措施
应用 Adobe APSB26-73 补丁；限制上传类型并验证文件内容；鉴于 KEV 状态，调查后利用情况。