CVE-2026-48356 en Adobe Commerce y Magento: crítica y ya explotada

Qué es y a quién afectaAdobe Commerce y Magento arrastran una vulnerabilidad catalogada como CVE-2026-48356, con el nombre oficial de «Unrestricted Up...

Qué es y a quién afecta

Adobe Commerce y Magento arrastran una vulnerabilidad catalogada como CVE-2026-48356, con el nombre oficial de «Unrestricted Upload of File with Dangerous Type Vulnerability». En términos llanos: la plataforma permite subir archivos de un tipo que no debería aceptar, y eso abre la puerta a que un atacante ejecute código arbitrario en el contexto del usuario actual, con posibilidad de escalar privilegios o tomar el control de la cuenta o de la sesión de la víctima. El fallo se clasifica como CWE-434 y su gravedad es CVSS 3.1 de 9.3, crítica.

La NVD del NIST publicó el registro el 14 de julio de 2026 y enumera entre los productos afectados Adobe Commerce 2.4.4 y sus parches acumulados (p1, p2, p10, p11, p12, p13, p14, p15, p16, p17 y p18), además de otras 159 configuraciones recogidas en el mismo aviso. Si tu comercio electrónico funciona sobre Magento o Adobe Commerce y no has revisado la versión en meses, este es el momento de hacerlo: es habitual encontrar tiendas con parches antiguos porque la actualización se pospuso por miedo a romper el tema o los módulos.

Un detalle importante del vector CVSS es que requiere interacción del usuario (UI:R): la explotación pasa por que la víctima visite una URL manipulada o interactúe con una página web comprometida. Eso no la hace menos peligrosa, sino más fácil de camuflar en campañas de ingeniería social dirigidas al personal de la tienda o a los administradores.

Por qué es urgente

No estamos ante una vulnerabilidad teórica. CISA añadió CVE-2026-48356 a su catálogo KEV el 27 de octubre de 2026, lo que significa que consta explotación activa en ataques reales. El plazo que la agencia dio a las agencias federales de EE. UU. para corregirla vencía el 10 de noviembre de 2026, apenas dos semanas después de la inclusión.

La acción exigida por CISA es aplicar las mitigaciones siguiendo las instrucciones del fabricante, evaluar la exposición a internet de cada activo y, si no hay mitigación disponible, dejar de usar el producto. En el material consultado no consta uso en campañas de ransomware, pero eso no rebaja la prioridad: la ejecución remota de código en un panel de comercio electrónico suele derivar en robo de datos de clientes, manipulación de pedidos o persistencia silenciosa durante meses.

Para una pyme española, el impacto tiene dos frentes. El técnico, evidente. Y el legal: si la brecha expone datos personales de compradores, entra en juego el RGPD y la LOPDGDD, con obligación de notificar a la autoridad de control y posibles sanciones. En Cataluña, con un tejido comercial denso en Barcelona, Lleida, Tarragona y Girona, muchas tiendas online operan con equipos de IT mínimos y no tienen a nadie vigilando los avisos de seguridad.

Qué hacer hoy

Comprueba si usas el producto y en qué versión. Revisa el backend de tu tienda y confirma si estás en la rama 2.4.4 o en alguno de sus parches acumulados. Si no lo sabes con certeza, pídelo a quien mantenga la instalación por escrito.
Aplica la actualización o mitigación que indique el aviso del fabricante. El material de referencia apunta al boletín de Adobe (apsb26-73) como aviso oficial; sigue lo que allí se indique para tu versión concreta, sin improvisar parches manuales.
Busca indicios de intrusión. Revisa archivos subidos recientemente en directorios de medios y contenido, usuarios administradores nuevos o desconocidos, tareas programadas que no reconoces y cambios extraños en plantillas o en el código del tema.
Reduce lo expuesto a internet. Restringe el acceso al panel de administración por IP o VPN, activa doble factor para todas las cuentas con privilegios y limita los permisos de escritura donde no hagan falta.
Refuerza la vigilancia. Si sospechas que la tienda ya está comprometida, no te limites a actualizar: una actualización no expulsa a un atacante que ya tiene acceso.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes y comercios online que necesitan certezas, no sustos. Empezamos por una auditoría de seguridad y pruebas de penetración sobre la tienda y el servidor, para saber qué hay realmente expuesto antes de que lo descubra un tercero. A partir de ahí, aplicamos hardening del servidor, revisamos la configuración de permisos y archivos y establecemos un plan de parches de seguridad que no dependa de que alguien se acuerde del boletín de Adobe.

También nos ocupamos del mantenimiento y actualización de WordPress, PrestaShop y Joomla, plataformas que conviven con Magento en muchas empresas y que acumulan el mismo tipo de riesgo cuando se dejan sin tocar. Y si la web ya ha sido hackeada, entramos a repararla, limpiar la persistencia y devolver la operación a la normalidad con monitorización y respuesta a incidentes detrás. La clave con CVE-2026-48356, como con casi todo en ciberseguridad, es la misma: cerrar la vulnerabilidad a tiempo cuesta mucho menos que gestionar sus consecuencias.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.

Resultados sin salir de la página.