PolyShell adalah celah unggah file tanpa autentikasi di Adobe Commerce dan Magento Open Source dengan nomor CVE-2026-48356. CISA menambahkannya ke katalog KEV pada 27 Oktober 2026 setelah ada bukti eksploitasi aktif, padahal perbaikan dari Adobe sudah tersedia sejak 14 Juli 2026. Pemilik toko online perlu menambal sekaligus memeriksa apakah sudah ada file berbahaya yang tertanam.
Ringkasan PolyShell (CVE-2026-48356)
- CVE: CVE-2026-48356, "Unrestricted Upload of File with Dangerous Type" (CWE-434). Nama PolyShell diberikan oleh Sansec.
- Produk terdampak: Adobe Commerce 2.4.4 sampai 2.4.9, Commerce B2B 1.3.3 sampai 1.5.3, Magento Open Source 2.4.6 sampai 2.4.9, serta Adobe Commerce Events 1.6.0 sampai 1.20.0.
- Jenis: unggah file lewat REST API tanpa login, yang dapat berujung pada eksekusi kode bergantung konfigurasi server web.
- Skor CVSS 3.1: 9.6 pada bulletin Adobe dan 9.3 pada catatan CVE serta NVD (keduanya kritis; selisihnya hanya pada dampak ketersediaan). Cara membaca skor dijelaskan di Level Kerentanan dan Skor CVSS.
- Status eksploitasi: masuk KEV pada 27 Oktober 2026; penggunaan oleh ransomware tercatat "Unknown".
- Perbaikan: bulletin Adobe APSB26-73, yaitu rilis 2026-jul untuk tiap lini versi atau patch terisolasi, serta Events 1.21.0.
Apa yang terjadi pada celah PolyShell
Peneliti Sansec mempublikasikan temuan ini pada 17 Maret 2026, ketika perbaikan produksi belum ada. Menurut Sansec, serangan pertama terlihat pada 19 Maret dan gelombang besar tercatat pada 30 Maret 2026: web shell ditanam, lalu JavaScript disuntikkan ke halaman toko. Adobe baru menerbitkan bulletin APSB26-73, nomor CVE, dan patch untuk lini versi yang lebih lama pada 14 Juli 2026.
Pada 24 Oktober 2026, Sansec mengaitkan PolyShell dengan kampanye yang memuat skrip penyerang dari blok konten CMS. Menurut Sansec, kampanye itu menyentuh 953 toko sejak Juli 2025, dan sekitar 471 di antaranya disuntik lewat PolyShell pada gelombang 30 Maret. Tiga hari kemudian CISA memasukkan celah ini ke KEV. Bulletin Adobe, menurut analis yang mengutipnya, menyatakan belum mengetahui eksploitasi di lapangan, tetapi pernyataan itu ditulis sebelum listing KEV. Indikator kompromi yang dipakai di bawah berasal dari riset Sansec.
Siapa yang terdampak dan mengapa penting
Terdampak adalah toko online yang memakai Adobe Commerce atau Magento Open Source, termasuk ekstensi B2B dan Events. Skrip yang tersuntik di halaman toko berpotensi dipakai untuk mencuri data pelanggan, dan web shell memberi penyerang pijakan permanen di server. Karena Magento banyak dipakai toko online berukuran menengah, mintalah pengelola toko, agensi, dan penyedia hosting Anda memastikan status patch mereka.
Ada satu perbedaan sumber yang perlu dicatat. Sansec menyebut rilis 2.4.9 bulan Mei 2026 sudah memuat perbaikan, sedangkan Adobe mendaftarkan 2.4.9 sebagai terdampak. Ikuti daftar resmi Adobe dan terapkan patch 2026-jul.
Cara memeriksa dan mengatasi eksposur PolyShell
- Terapkan APSB26-73. Pindah ke rilis 2026-jul untuk lini Anda, atau pasang patch terisolasi setelah mencapai patch level terbaru lini tersebut. Patch terisolasi hanya berlaku di patch level terbaru, jadi toko yang tertinggal harus naik versi dulu.
- Verifikasi. Pastikan patch benar-benar terpasang melalui Commerce Version Tool atau Quality Patches Tool untuk merchant cloud.
- Cari yang sudah tertanam. Patch tidak menghapus file yang sudah ada. Periksa direktori pub/media/custom_options/ untuk file tak wajar (termasuk gambar yang berisi PHP), file bernama accesson.php di subfolder baru assets/images/, skrip asing di tabel cms_block dan cms_page, serta akun admin yang tidak dikenal.
- Batasi dampak. Tolak akses web ke direktori unggahan tersebut melalui aturan server web. Ini membatasi kerusakan tetapi tidak menghentikan unggahan.
- Rotasi kredensial. Setelah pembersihan, ganti kata sandi database, admin, dan kunci integrasi API.
Pengerasan unggah file untuk jangka panjang
Pelajaran PolyShell berlaku bagi aplikasi apa pun yang menerima unggahan. Gunakan allowlist ekstensi dan tipe konten yang diperiksa di sisi server, bukan hanya nama file. Simpan unggahan di lokasi yang tidak dapat mengeksekusi skrip, atau di penyimpanan objek terpisah. Beri nama acak pada file tersimpan, batasi ukuran, dan pantau perubahan file di direktori media dengan alat pemantau integritas. Letakkan WAF di depan endpoint unggahan sebagai lapisan tambahan, bukan pengganti patch.
Tambahkan juga pemantauan. Pantau lonjakan permintaan unggahan dari satu alamat IP, file baru atau berubah di direktori media, akun admin yang baru dibuat, dan perubahan mendadak pada tabel konten CMS. Simpan log server web dan aplikasi di luar server toko agar tetap tersedia bila server dibersihkan atau dibangun ulang. Jika toko Anda dikelola agensi atau penyedia hosting, minta laporan tertulis tentang status patch dan hasil pemeriksaan file, bukan sekadar konfirmasi lisan.
Linimasa singkat PolyShell
- 17 Maret 2026: Sansec menerbitkan riset PolyShell sebelum perbaikan tersedia.
- 30 Maret 2026: gelombang serangan otomatis besar menurut Sansec.
- 12 Mei 2026: Magento 2.4.9 dirilis; menurut Sansec rilis ini sudah memuat perbaikan.
- 14 Juli 2026: Adobe merilis APSB26-73 dan CVE-2026-48356 dipublikasikan.
- 24 Oktober 2026: Sansec mengaitkan celah dengan kampanye pemuat skrip lewat blok CMS.
- 27 Oktober 2026: CISA menambahkan CVE-2026-48356 ke KEV (status per 29 Oktober 2026).
Baca juga: Celah Webmail Roundcube dan Zimbra yang Dieksploitasi.
Pertanyaan yang Sering Diajukan
Apakah toko saya aman jika sudah memasang patch Juli 2026?
Belum tentu. Serangan sudah berlangsung sejak Maret 2026, jadi file atau skrip berbahaya bisa tertanam sebelum patch dipasang. Lakukan pemeriksaan kompromi dan rotasi kredensial. Pahami juga mengapa status KEV penting lewat artikel CISA KEV.
Apakah Magento versi lama ikut terdampak?
Ya. Bulletin Adobe mencantumkan Adobe Commerce lini 2.4.4 sampai 2.4.9 dan Magento Open Source lini 2.4.6 sampai 2.4.9, termasuk patch level lama di tiap lini. Patch terisolasi hanya untuk patch level terbaru, sehingga toko yang tertinggal perlu meningkatkan versi lebih dulu. Versi yang sudah di luar masa dukungan tidak mendapat patch, jadi pilihan amannya adalah migrasi ke lini yang didukung.
Cukupkah memblokir folder unggahan saja?
Tidak. Itu hanya membatasi eksekusi file. Unggahan tetap bisa terjadi dan file tetap tersimpan di disk, sehingga patch dan pemeriksaan tetap wajib. CISA memasukkan PolyShell ke KEV bersamaan dengan celah Brotli HTTP2Shell dalam peringatan yang sama.
Mengapa skor CVSS Adobe dan NVD berbeda?
Bulletin Adobe mencatat 9.6 dan catatan CVE serta NVD mencatat 9.3. Keduanya menandakan kritis; perbedaannya hanya pada penilaian dampak ketersediaan layanan, sehingga tidak mengubah prioritas patch.
Kesimpulan
PolyShell menunjukkan bahwa celah unggah file adalah jalur klasik yang masih efektif, dan bahwa jeda panjang antara riset publik dan patch memberi penyerang waktu berbulan-bulan. Prioritaskan APSB26-73, lalu periksa jejak kompromi sebelum menganggap toko aman. Untuk menguji ketahanan toko dan aplikasi web organisasi Anda secara terotorisasi, tim Linuxhackingid menyediakan layanan asesmen keamanan. Rujukan resmi: peringatan KEV CISA 27 Oktober 2026.
Every article is reviewed by the practice lead who ran the work before it is published.