Deux événements Adobe tombent le même jour, le 27 octobre 2026 :
- La CISA ajoute CVE-2026-48356 (Adobe Commerce et Magento Open Source) à son catalogue KEV, plus de trois mois après sa publication, avec une échéance au 10 novembre.
- Adobe publie le bulletin APSB26-162 pour Campaign Classic : six CVE notées entre 9.1 et 10.0 par Adobe.
C'est la troisième fois en deux mois que Magento passe au KEV, après CVE-2026-75650 en septembre et CVE-2026-71362 fin septembre. Et Campaign Classic revient lui aussi, avec un score maximal cette fois.
Magento : CVE-2026-48356 au KEV
| Champ | Valeur |
|---|---|
| CVE | CVE-2026-48356 |
| CVSS 3.1 (NVD et Adobe) | 9.3 (CRITICAL) — AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N |
| Type | Téléversement de fichier de type dangereux sans restriction (CWE-434) |
| Bulletin Adobe | APSB26-73 |
| Statut NVD | Analyzed |
| Publication NVD | 2026-07-14 |
| Ajout CISA KEV | 2026-10-27 |
| Échéance CISA | 2026-11-10 |
Description NVD (extrait) :
Adobe Commerce is affected by an Unrestricted Upload of File with Dangerous Type vulnerability that could result in arbitrary code execution in the context of the current user […]
Une faille qui demande un clic, et qui finit quand même au KEV
L'exploitation exige une interaction de la victime (UI:R) : elle doit visiter une URL piégée ou interagir avec une page compromise. Aucune authentification n'est requise (PR:N), et le périmètre change (S:C) : l'impact dépasse le composant vulnérable.
Sur une boutique Magento, la victime visée est logiquement un administrateur du back-office : c'est son contexte qui donne accès au téléversement de fichiers et à la configuration. C'est une déduction, NVD ne précise pas le rôle de la victime.
NVD référence deux publications de Sansec, éditeur spécialisé dans la sécurité Magento, avec des indicateurs de compromission. Les intitulés de ces pages évoquent une vague d'attaques de masse : l'exploitation n'est plus ciblée.
Versions affectées
NVD liste chaque version et chaque correctif (-pN) concernés, sans plage ouverte :
| Produit | Branches et dernière version listée par NVD |
|---|---|
| Adobe Commerce | 2.4.4 → 2.4.4-p18 ; 2.4.5 → 2.4.5-p17 ; 2.4.6 → 2.4.6-p15 ; 2.4.7 → 2.4.7-p10 ; 2.4.8 → 2.4.8-p5 ; 2.4.9 |
| Adobe Commerce B2B | 1.3.3 → 1.3.3-p18 ; 1.3.4 → 1.3.4-p17 ; 1.4.2 → 1.4.2-p10 ; 1.5.2 → 1.5.2-p5 ; 1.5.3 |
| Magento Open Source | 2.4.6 → 2.4.6-p15 ; 2.4.7 → 2.4.7-p10 ; 2.4.8 → 2.4.8-p5 ; 2.4.9 |
| Adobe I/O Events (pour Commerce) | 1.6.0 et suivantes, avant 1.21.0 |
⚠️ NVD ne donne pas de version corrigée pour Commerce et Magento : la version à installer pour ta branche est dans le bulletin APSB26-73. Les branches antérieures à 2.4.4 n'apparaissent pas dans la liste, ce qui ne veut pas dire qu'elles sont saines : elles ne sont plus maintenues.
Campaign Classic : six CVE critiques (APSB26-162)
| CVE | Type | CVSS 3.1 (Adobe) | Privilèges |
|---|---|---|---|
| CVE-2026-105781 | Injection SQL (CWE-89) → exécution de code | 10.0 — AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H | aucun |
| CVE-2026-105780 | Autorisation incorrecte (CWE-863) → exécution de code | 9.9 — AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H | faibles |
| CVE-2026-104353 | Injection de commande OS (CWE-78) | 9.9 — AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H | faibles |
| CVE-2026-104351 | Injection de code (CWE-94) | 9.9 — AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H | faibles |
| CVE-2026-104350 | XSS réfléchi (CWE-79) | 9.3 — AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N | aucun, clic requis |
| CVE-2026-105779 | Injection SQL (CWE-89) → contournement de sécurité | 9.1 — AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L | faibles |
Les six CVE sont publiées par NVD le 27 octobre et sont en attente d'analyse (Awaiting Analysis) : les scores ci-dessus sont ceux d'Adobe, NVD n'en a pas encore publié.
La pire du lot : CVE-2026-105781
Une injection SQL sans authentification ni interaction, qui selon Adobe peut aboutir à une exécution de code. Le score de 10.0 vient de cette combinaison : accessible depuis le réseau, aucun prérequis, impact total, périmètre changé.
Les trois 9.9 (CVE-2026-105780, CVE-2026-104353, CVE-2026-104351) mènent aussi à l'exécution de code, mais exigent un compte à faibles privilèges. Dans un outil de campagnes marketing, ces comptes sont nombreux : opérateurs, agences, prestataires.
Versions affectées
NVD n'a pas encore de configuration pour ces CVE : aucune version n'est listée. Les versions concernées et la build corrigée sont dans le bulletin Adobe APSB26-162. Pour les instances hébergées par Adobe, vérifie auprès d'Adobe si le correctif a déjà été appliqué.
Détection
Magento
- Fichiers récents dans les répertoires accessibles par le web, en particulier
pub/media/: un fichier PHP n'a rien à y faire - Comptes administrateurs créés récemment ou inconnus
- Blocs CMS et configuration modifiés sans raison (scripts injectés dans les pages de paiement)
- Les indicateurs de compromission publiés par Sansec et cités par NVD
find pub/media -name "*.php*" -newermt "2026-07-01"
bin/magento admin:user:list
Campaign Classic
- Erreurs SQL inhabituelles dans les journaux du serveur applicatif
- Processus enfants inattendus lancés par le serveur Campaign (signe possible d'une injection de commande)
- Activité de comptes opérateurs à faibles privilèges en dehors de leurs horaires ou de leurs adresses habituelles
Mitigation
1. Magento : appliquer APSB26-73 avant le 10 novembre
C'est l'échéance CISA. Si ta boutique tourne sur une branche antérieure à 2.4.4, la mise à jour passe par une migration de branche.
2. Magento : traiter la question de la compromission
Une faille au KEV depuis juillet, exploitée en masse selon les références : corriger ne suffit pas. L'entrée KEV renvoie à la directive BOD 26-04, qui exige un triage forensique. Un fichier déjà déposé reste en place après la mise à jour.
3. Campaign Classic : appliquer APSB26-162
Priorité à CVE-2026-105781, exploitable sans compte. En attendant, l'instance ne devrait pas être joignable depuis Internet au-delà de ce qui est strictement nécessaire (pages de tracking, formulaires publics).
4. Revoir les comptes opérateurs Campaign
Quatre des six CVE exigent un compte à faibles privilèges. Supprimer les comptes inutilisés, imposer l'authentification multifacteur, restreindre les accès des prestataires.
Pourquoi surveiller en continu votre parc Adobe
Magento a pris trois entrées au KEV en deux mois, dont celle-ci, publiée en juillet et restée dans l'ombre pendant trois mois. Le jour où la CISA l'ajoute, il faut savoir immédiatement quelles boutiques tournent sur quelle version, et quel patch -pN y est appliqué.
Avec cveo.tech, inventorie tes instances Adobe Commerce, Magento et Campaign avec leur version exacte, et reçois une alerte automatique dès qu'une CVE qui les concerne est publiée ou entre au catalogue CISA KEV.