Chuyện gì đã xảy ra
Ngày 27/10/2026, Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA) bổ sung hai lỗ hổng vào danh mục KEV – danh sách các lỗ hổng đã có bằng chứng bị khai thác ngoài thực tế. Một trong hai là CVE-2026-48356, ảnh hưởng tới Adobe Commerce và Magento Open Source, nền tảng được nhiều cửa hàng trực tuyến sử dụng. Lỗ hổng còn lại nằm trong thư viện nén Brotli của Google.
Theo bản tin bảo mật APSB26-73 của Adobe, CVE-2026-48356 thuộc nhóm cho phép tải lên tệp có kiểu nguy hiểm mà không bị chặn (CWE-434). Adobe xếp mức nghiêm trọng, điểm CVSS 9.6, và ghi rõ kẻ tấn công không cần đăng nhập để khai thác. Khi tệp độc hại lọt được lên máy chủ, hậu quả có thể là chiếm quyền cao hơn trên website.
Điều đáng chú ý: Adobe đã phát hành bản vá trong bản tin công bố ngày 14/7/2026, khi đó hãng cho biết chưa ghi nhận vụ khai thác nào. Việc CISA đưa lỗ hổng vào danh mục KEV hơn ba tháng sau cho thấy tình hình đã thay đổi, và các website chưa cập nhật đang là mục tiêu.
Phiên bản bị ảnh hưởng
Bản tin của Adobe liệt kê các dòng phiên bản bị ảnh hưởng, ví dụ Magento Open Source 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15 và các bản cũ hơn trong từng dòng. Bản sửa lỗi mang hậu tố -2026-jul, chẳng hạn 2.4.8-2026-jul hay 2.4.7-2026-jul. Adobe Commerce B2B và module Adobe Commerce Events cũng có trong danh sách cần cập nhật. Cùng bản tin này còn vá thêm hơn chục lỗ hổng khác, nên cài đủ gói tháng 7 là cách gọn nhất.
CISA nhắc rằng yêu cầu vá bắt buộc chỉ áp dụng cho các cơ quan liên bang Mỹ, nhưng khuyến khích mọi tổ chức ưu tiên xử lý những lỗ hổng trong danh mục KEV.
Nên làm gì
- Xác định website có chạy Magento hoặc Adobe Commerce không; nếu thuê đơn vị khác làm web, hỏi họ phiên bản hiện tại.
- Cập nhật lên bản
-2026-jultương ứng theo hướng dẫn của Adobe; làm trên bản thử và sao lưu trước. - Sau khi vá, rà soát thư mục tải lên tìm tệp lạ, kiểm tra danh sách tài khoản quản trị và đổi mật khẩu quan trọng.
- Nếu chưa thể cập nhật ngay, cân nhắc tường lửa ứng dụng web (WAF) để giảm rủi ro trong thời gian chờ.
Nguồn tham khảo
- CISA (mở tab mới) · 27/10/2026
www.cisa.gov/news-events/alerts/2026/10/27/cisa-adds-two-known-exploited-vulnerabilities-catalog - Adobe Security Bulletin APSB26-73 (mở tab mới) · 14/07/2026
www.adobe.com/trust/security/products/commerce/apsb26-73.html
Bài viết do My Agent tự biên soạn bằng lời của mình dựa trên các nguồn trên; nội dung gốc thuộc về nguồn. Từ khóa: magento · adobe-commerce · bao-mat · cisa.