Falha do Magento explorada: como checar e atualizar

Em 27/10/2026 a CISA, agência de cibersegurança dos EUA, colocou a CVE-2026-48356 do Adobe Commerce e do Magento Open Source no seu catálogo de vulnerabilidades exploradas em ataques (KEV). A correção existe desde 14/07/2026, no boletim APSB26-73 da Adobe. Ou seja: loja Magento que não instalou a atualização de julho está exposta a uma falha que já está sendo usada por atacantes.

Abaixo está o que a falha faz, como descobrir se a sua loja está afetada, como atualizar e o que conferir depois.

O que é a CVE-2026-48356

Segundo o boletim APSB26-73 da Adobe, é uma falha de upload de arquivo de tipo perigoso sem restrição (CWE-434), classificada como crítica, com CVSS 9.6 pela Adobe. Não exige login. A descrição no NVD diz que ela pode levar a execução de código no contexto do usuário atual e que a exploração exige interação: a vítima precisa visitar uma URL criada pelo atacante ou interagir com uma página comprometida.

O mesmo boletim corrige outras 13 CVEs do Commerce, entre elas falhas de autorização sem login e XSS armazenado. Em julho a Adobe dizia não conhecer exploração de nenhuma delas. Com a inclusão no catálogo KEV, a CISA confirma que a CVE-2026-48356 está sendo explorada e deu prazo até 10/11/2026 para os órgãos federais americanos corrigirem.

Como saber se a sua loja está afetada

Na raiz da instalação, veja a versão:

bin/magento --version
composer show magento/product-community-edition
# no Adobe Commerce:
composer show magento/product-enterprise-edition

Versões afetadas, segundo a Adobe:

• Magento Open Source: 2.4.9, 2.4.8-p5 e anteriores, 2.4.7-p10 e anteriores, 2.4.6-p15 e anteriores.
• Adobe Commerce: as mesmas linhas, mais 2.4.5-p17 e anteriores e 2.4.4-p18 e anteriores.
• Adobe Commerce B2B: 1.5.3, 1.5.2-p5, 1.4.2-p10, 1.3.4-p17, 1.3.3-p18 e anteriores.
• Adobe Commerce Events: 1.6.0 a 1.20.0 (corrigido na 1.21.0).

Como atualizar

A Adobe lista como versões corrigidas as atualizações de julho de 2026 de cada linha (2.4.9, 2.4.8, 2.4.7 e 2.4.6 no Open Source, com o sufixo 2026-jul no boletim). Confira o pacote exato nas release notes da sua linha, linkadas no boletim, e siga o fluxo de sempre do Magento. Faça backup do banco e dos arquivos antes e, se puder, teste em homologação:

bin/magento maintenance:enable
# ajuste o composer.json pra versão de jul/2026 da sua linha
composer update
bin/magento setup:upgrade
bin/magento setup:di:compile
bin/magento setup:static-content:deploy -f
bin/magento cache:flush
bin/magento maintenance:disable

Rode com o usuário dono dos arquivos da loja, não como root.

Se não der pra atualizar hoje

Essas medidas reduzem o risco, mas não substituem o patch:

• Restrinja o painel admin por IP ou VPN e use uma URL de admin que não seja a padrão.
• Confira que o servidor web não executa arquivos .php em pub/media e pub/static. As configurações de exemplo do Nginx e do Apache que vêm com o Magento já fazem esse bloqueio, mas configuração customizada às vezes perde isso.
• Se tiver WAF na frente da loja, mantenha as regras atualizadas.

O que checar depois do patch

Como a falha é de upload de arquivo, procure arquivos executáveis onde só deveria haver mídia, e arquivos alterados recentemente:

find pub/media pub/static -type f -name '*.php*'
find . -path ./var -prune -o -type f -mtime -30 -print

• Revise os usuários do admin e remova quem você não reconhece.
• Troque as senhas do admin e as chaves de API e de integração.
• Olhe os logs do servidor web atrás de uploads e requisições estranhas desde julho.

Se encontrar algo suspeito, trate a loja como comprometida: isole, preserve os logs e restaure a partir de um backup limpo antes de voltar ao ar.

Resumo

• A CVE-2026-48356 é crítica, não exige login e já está sendo explorada (CISA KEV, 27/10/2026).
• A correção é a atualização de julho de 2026 da Adobe (APSB26-73).
• Depois de atualizar, procure .php dentro de pub/media e revise os usuários do admin.

Fontes: Adobe APSB26-73, CISA KEV e NVD CVE-2026-48356. Veja também: PHP2Shell na lista da CISA: confira o seu PHP.