Die Schwachstelle CVE-2026-48356 in Adobe Commerce und Magento Open Source wird aktiv ausgenutzt. Die US-Behörde CISA führt sie seit dem 27. Oktober 2026 als ausgenutzt. Der Schweregrad (CVSS) liegt bei 9,3. Angreifer benötigen keine eigenen Zugangsdaten. Ein Opfer muss lediglich eine präparierte Adresse aufrufen oder mit einer kompromittierten Webseite interagieren. Ursache ist ein unzureichend eingeschränkter Upload gefährlicher Dateitypen. Betroffen sind laut Adobe-Bulletin APSB26-73 auch die Erweiterungen Adobe Commerce B2B und Adobe Commerce Events. Korrigierte Versionen mit dem Zusatz „2026-jul“ stehen seit Juli bereit. Für die Praxis in Banken und Versicherern bietet sich diese Reihenfolge an: Erstens alle Shop- und Portalinstallationen erfassen, auch die bei Dienstleistern und Tochtergesellschaften. Zweitens den Patchstand je Installation gegen das Bulletin abgleichen und B2B- sowie Events-Erweiterungen einbeziehen. Drittens fehlende Updates vorrangig einspielen und die Umsetzung im Änderungsprotokoll festhalten. Umgesetzt ist die Maßnahme, wenn jede Installation einen dokumentierten, korrigierten Stand hat.