Magento PolyShell CVE-2026-48356 là lỗ hổng tải file trong Adobe Commerce và Magento Open Source, vừa được CISA đưa vào danh mục lỗ hổng đang bị khai thác (KEV) ngày 27/10/2026. Adobe đã phát hành bản vá từ 14/7/2026, nhưng theo các bản tin bảo mật, lỗi đã bị tấn công tự động từ trước khi có bản vá. Chủ cửa hàng Magento cần vá ngay và kiểm tra xem server đã bị cài webshell hay chưa.

Tóm tắt nhanh

  • Lỗ hổng: CVE-2026-48356 (PolyShell), tải file không giới hạn, CVSS 9.6 theo Adobe, 9.3 theo NVD.
  • Sản phẩm: Adobe Commerce, Adobe Commerce B2B, Magento Open Source, Adobe Commerce Events.
  • Bản vá: APSB26-73 ngày 14/7/2026, các bản 2026-jul theo nhánh.
  • KEV: thêm ngày 27/10/2026, hạn cho cơ quan liên bang Mỹ là 10/11/2026.
  • Việc cần làm: vá, kiểm tra pub/media/custom_options/, rà CMS block, đổi mật khẩu.

Lỗ hổng PolyShell hoạt động thế nào?

Theo tổng hợp của Rescana, Adobe mô tả đây là lỗi tải file có thể dẫn tới chạy mã tùy ý, cần người dùng "truy cập một URL độc hại hoặc tương tác với trang web đã bị xâm nhập". Công ty bảo mật thương mại điện tử Sansec, đơn vị công bố nghiên cứu từ 17/3/2026, mô tả kẻ tấn công tải file ngụy trang thành ảnh qua REST API mà không cần đăng nhập. File có chạy được như mã PHP hay không còn tùy cấu hình web server.

Diễn biến đáng chú ý

NgàySự kiện
17/3/2026Sansec công bố nghiên cứu PolyShell, khi đó chưa có bản vá chính thức
30/3/2026Sansec ghi nhận làn sóng tấn công tự động, cài webshell và chèn JavaScript
14/7/2026Adobe phát hành APSB26-73 cùng bản vá 2026-jul
24/10/2026Sansec liên kết PolyShell với một chiến dịch chèn script qua CMS block
27/10/2026CISA thêm CVE-2026-48356 vào KEV

CISA để mục sử dụng trong ransomware là "chưa rõ" và chưa nêu tên nhóm tấn công. Cùng ngày 27/10/2026, CISA cũng đưa lỗi Brotli CVE-2026-111497 vào KEV, lỗi đã được đề cập trong bài Node2Shell CVE-2026-111497.

Phiên bản bị ảnh hưởng và bản vá

Sản phẩmBị ảnh hưởngBản đã vá
Adobe Commerce2.4.9; 2.4.8-p5, 2.4.7-p10, 2.4.6-p15, 2.4.5-p17, 2.4.4-p18 trở về trước2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul, 2.4.5-2026-jul, 2.4.4-2026-jul
Adobe Commerce B2B1.5.3; 1.5.2-p5, 1.4.2-p10, 1.3.4-p17, 1.3.3-p18 trở về trướcCác bản 2026-jul tương ứng
Magento Open Source2.4.9; 2.4.8-p5, 2.4.7-p10, 2.4.6-p15 trở về trước2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul
Adobe Commerce Events1.6.0 đến 1.20.01.21.0

Lưu ý quan trọng: bản vá tháng 7 là file vá riêng lẻ (isolated patch), không phải gói Composer. Mỗi file chỉ áp được lên mức patch mới nhất của nhánh đó, nên cửa hàng đang ở bản cũ hơn phải nâng lên mức patch mới nhất trước. Bản vá riêng lẻ cho Magento Open Source chỉ có từ 2.4.6 trở lên. Khách dùng Adobe Commerce on cloud được xử lý qua bản cập nhật cloud-patches mới nhất.

Chủ cửa hàng Magento cần làm gì?

  1. Áp bản vá APSB26-73 theo nhánh đang dùng, rồi xác nhận bằng Commerce Version Tool hoặc Quality Patches Tool của Adobe.
  2. Kiểm tra thư mục tải lên: tìm file lạ, đặc biệt là ảnh chứa mã PHP, ví dụ find pub/media/custom_options/ -type f -newermt 2026-03-01 và grep -rl "<?php" pub/media/custom_options/.
  3. Chặn truy cập web vào pub/media/custom_options/ ở tầng web server. Cách này hạn chế thiệt hại nhưng không ngăn được việc tải file lên.
  4. Tìm backdoor: Sansec báo cáo file accesson.php được đặt trong các thư mục con mới tạo dạng assets/images/.
  5. Rà CMS: kiểm tra bảng cms_block và cms_page xem có thẻ script lạ trỏ tới tên miền không quen.
  6. Sau khi dọn dẹp: xóa tài khoản admin lạ, đổi mật khẩu database, admin và khóa tích hợp API.

Với cửa hàng thương mại điện tử, script chèn vào trang thanh toán có thể đánh cắp thông tin thẻ của khách. Nếu cửa hàng chạy trên VPS tự quản, hãy kiểm tra thêm log truy cập REST API trong các tháng gần đây.

Nguồn tham khảo