Adobe Commerce/Magento อัปโหลดไฟล์อันตราย CVE-2026-48356
ผู้ดูแล Adobe Commerce และ Magento รุ่นที่ได้รับผลกระทบควรเร่งติดตั้งแพตช์ เพราะ CISA ยืนยันว่ามีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- การอัปโหลดไฟล์ชนิดอันตรายอาจนำไปสู่การรันโค้ดด้วยสิทธิ์ผู้ใช้และยึดบัญชีหรือเซสชัน
- Who should read
- ผู้ใช้ Adobe Commerce, Magento Open Source และส่วนเสริม B2B หรือ Events ตามรุ่นที่ระบุในประกาศ
- Fix in short
- ติดตั้งชุดแก้ 2026-jul ให้ตรงสายรุ่น และอัปเดต Commerce Events เป็น 1.21.0 หากใช้งาน
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-48356 ของ Adobe Commerce และ Magento ซึ่งถูกเพิ่มเข้ารายการวันที่ 27 ตุลาคม 2026 ประเด็นคือระบบยอมรับการอัปโหลดไฟล์ชนิดอันตราย และมีการนำช่องโหว่นี้ไปโจมตีจริงแล้ว ผู้ดูแลร้านค้าออนไลน์ที่ใช้ผลิตภัณฑ์กลุ่มนี้ควรตรวจรุ่นและเร่งวางแผนติดตั้งแพตช์ โดย CISA ระบุกำหนดแก้ไว้วันที่ 10 พฤศจิกายน 2026 ในรายการ Known Exploited Vulnerabilities
เกิดอะไรขึ้น
ช่องโหว่นี้อยู่ในกลุ่ม Unrestricted Upload of File with Dangerous Type หรือ CWE-434 อธิบายง่าย ๆ คือการรับไฟล์อัปโหลดไม่ได้จำกัดชนิดไฟล์อันตรายอย่างเหมาะสม ตาม CVE record ผู้โจมตีอาจรันโค้ดด้วยสิทธิ์ของผู้ใช้ปัจจุบัน และอาจได้สิทธิ์เพิ่มหรือควบคุมบัญชีกับเซสชันของเหยื่อ การโจมตีต้องอาศัยเหยื่อเปิด URL ที่สร้างมาเฉพาะ หรือใช้งานหน้าเว็บที่ถูกแทรกแซง ผู้โจมตีไม่ต้องล็อกอินก่อน CVE record ของ Adobe
Adobe จัดผลกระทบเป็นการยกระดับสิทธิ์ ระดับ Critical และให้ CVSS 3.1 ที่ 9.6 ส่วน CVE record ให้ 9.3 ระดับ Critical เช่นกัน สองแหล่งต่างกันที่ผลกระทบด้านความพร้อมใช้งาน โดย Adobe ใช้ A:L แต่ CVE record ใช้ A:N การอ้างคะแนนควรระบุแหล่งด้วย Adobe APSB26-73
ใครโดนและรุ่นที่แก้
ตารางนี้ใช้ขอบเขตและชื่อชุดแก้ตาม APSB26-73 คำว่า “หรือต่ำกว่า” หมายถึงภายในสายรุ่นนั้น ตรวจทั้งระบบหลักและส่วนเสริมที่ติดตั้งอยู่
ขอบเขต Commerce Events ของสองแหล่งต่างกัน: bulletin ระบุ 1.6.0–1.20.0 แต่ CVE record ของ Adobe ระบุถึง 1.20.0 โดยเริ่มจาก 0 ทั้งคู่ให้รุ่นแก้เป็น 1.21.0
| ผลิตภัณฑ์ / สายรุ่น | รุ่นที่ได้รับผลกระทบ | รุ่นหรือชุดแก้ตาม Adobe |
|---|---|---|
| Commerce / Magento Open Source 2.4.9 | 2.4.9 | 2.4.9-2026-jul |
| Commerce / Magento Open Source 2.4.8 | 2.4.8-p5 หรือต่ำกว่า | 2.4.8-2026-jul |
| Commerce / Magento Open Source 2.4.7 | 2.4.7-p10 หรือต่ำกว่า | 2.4.7-2026-jul |
| Commerce / Magento Open Source 2.4.6 | 2.4.6-p15 หรือต่ำกว่า | 2.4.6-2026-jul |
| Commerce 2.4.5 | 2.4.5-p17 หรือต่ำกว่า | 2.4.5-2026-jul |
| Commerce 2.4.4 | 2.4.4-p18 หรือต่ำกว่า | 2.4.4-2026-jul |
| Commerce B2B 1.5.3 | 1.5.3 | 1.5.3-2026-jul |
| Commerce B2B 1.5.2 | 1.5.2-p5 หรือต่ำกว่า | 1.5.2-2026-jul |
| Commerce B2B 1.4.2 | 1.4.2-p10 หรือต่ำกว่า | 1.4.2-2026-jul |
| Commerce B2B 1.3.4 | 1.3.4-p17 หรือต่ำกว่า | 1.3.4-2026-jul |
| Commerce B2B 1.3.3 | 1.3.3-p18 หรือต่ำกว่า | 1.3.3-2026-jul |
| Commerce Events | 1.6.0–1.20.0 ตาม APSB26-73 | 1.21.0 |
ต้องทำอะไร
เริ่มจากตรวจรุ่นระบบหลักในไดเรกทอรีแอปด้วยคำสั่งต่อไปนี้ แล้วตรวจแพ็กเกจและส่วนเสริมใน composer.lock เพิ่มเติม คำสั่งนี้ใช้ดูรุ่น ไม่ได้ติดตั้งแพตช์หรือยืนยันว่าชุดแก้ครบแล้ว
php bin/magento --version
แนวทางปฏิบัติสำหรับผู้ดูแลคือสำรองฐานข้อมูลและไฟล์แอป ทดสอบชุดแก้ที่ตรงสายรุ่นก่อนนำขึ้นใช้งานตามขั้นตอนของ Adobe หลังติดตั้งควรตรวจรุ่นแพ็กเกจและหลักฐานการติดตั้งชุดแก้อีกครั้ง พร้อมทดสอบการเข้าสู่ระบบ การอัปโหลด และขั้นตอนสั่งซื้อ การที่เว็บไซต์ยังเปิดได้ไม่ได้ยืนยันว่าช่องโหว่ถูกปิดแล้ว
ประกาศ Adobe แนะนำให้อัปเดตและไม่ได้ให้ workaround เฉพาะสำหรับ CVE นี้ หากพบไฟล์หรือการเปลี่ยนแปลงบัญชีที่ผิดปกติ ควรเก็บหลักฐานและตรวจสอบเหตุการณ์ควบคู่กับการแพตช์ การติดตั้งรุ่นที่แก้แล้วไม่ได้เป็นหลักฐานว่าระบบไม่เคยถูกบุกรุก
APSB26-73 ที่ตรวจยังระบุว่า Adobe ไม่ทราบการโจมตีจริง โดยหน้า bulletin อัปเดตล่าสุด 11 สิงหาคม 2026 แต่ CISA เพิ่ม CVE นี้เข้า KEV เมื่อ 27 ตุลาคม 2026 จากหลักฐานการโจมตีจริง
ส่วนตัวผมให้รายการนี้อยู่ในคิวแพตช์เร่งด่วน เพราะมีการโจมตีจริงแล้วและกระทบบัญชีหรือเซสชันผู้ใช้ได้ ที่มา: CISA KEV — CVE-2026-48356, CVE-2026-48356 และ Adobe APSB26-73 หากมีรายละเอียดทางการเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first