Kritieke Magento PolyShell-kwetsbaarheid wordt actief misbruikt: controleer webshops op PHP-backdoors
De Magento PolyShell kwetsbaarheid CVE-2026-48356 wordt actief misbruikt door cybercriminelen. Op 27 oktober 2026 heeft de Amerikaanse beveiligingsautoriteit CISA deze kritieke kwetsbaarheid toegevoegd aan haar Known Exploited Vulnerabilities-catalogus. PolyShell maakt het mogelijk om zonder geldige inloggegevens schadelijke bestanden te uploaden naar kwetsbare Adobe Commerce- en Magento Open Source-webshops. Onder bepaalde serverconfiguraties kunnen deze bestanden worden uitgevoerd als PHP-code, waardoor aanvallers toegang tot de webshop kunnen verkrijgen.
De kwetsbaarheid heeft volgens Adobe een CVSS-score van 9,6 en is daarmee geclassificeerd als kritiek.
Beveiligingsonderzoekers van Sansec ontdekten PolyShell in maart 2026 en documenteerden aanvallen waarbij schadelijke bestanden werden geplaatst in openbare uploaddirectories.
Hoewel Adobe op 14 juli 2026 beveiligingsupdates beschikbaar stelde, kunnen webshops die deze updates niet hebben geïnstalleerd nog steeds kwetsbaar zijn.
Vservs adviseert Magento-beheerders om onmiddellijk de beveiligingspatches te controleren en eerder kwetsbare webshops te onderzoeken op mogelijke compromittering.
Wat is de Magento PolyShell kwetsbaarheid?
De Magento PolyShell kwetsbaarheid CVE-2026-48356 is een beveiligingsprobleem in de verwerking van bestandsuploads via de REST API van Magento en Adobe Commerce.
Magento ondersteunt producten waarbij klanten tijdens het bestellen een bestand kunnen uploaden.
Deze functionaliteit maakt gebruik van zogenaamde custom options.
Bij bepaalde API-aanvragen kan een bestand worden meegestuurd dat vervolgens op de server wordt opgeslagen.
Volgens Sansec controleert de kwetsbare verwerking onvoldoende of de aangeleverde bestandsinformatie overeenkomt met een toegestane productoptie.
Daarnaast worden gevaarlijke bestandsextensies onvoldoende beperkt.
Hierdoor kunnen aanvallers bestanden uploaden die zowel op een afbeelding als op uitvoerbare PHP-code lijken.
Dergelijke bestanden worden polyglot-bestanden genoemd.
Hoe werkt de PolyShell-aanval?
De kwetsbaarheid bevindt zich in de verwerking van bestandsgegevens bij bepaalde winkelwagenaanvragen.
De betreffende REST API-functionaliteit is onder andere bereikbaar via gastwinkelwagens.
Omdat bezoekers zonder account een gastwinkelwagen kunnen gebruiken, is voor het bereiken van deze functionaliteit geen WordPress- of Magento-beheerdersaccount nodig.
De kwetsbare verwerking accepteert een bestand dat via de aanvraag wordt meegestuurd.
De inhoud kan vervolgens worden opgeslagen onder:
pub/media/custom_options/quote/Wanneer de webserver verkeerd is geconfigureerd en PHP-uitvoering toestaat binnen deze directory, kan een aanvaller mogelijk de geüploade code uitvoeren.
Dit kan leiden tot remote code execution.
Ook wanneer PHP-uitvoering is geblokkeerd, kunnen schadelijke bestanden op de server achterblijven.
Deze bestanden kunnen later alsnog een risico vormen wanneer de serverconfiguratie verandert.
PolyShell wordt daadwerkelijk misbruikt
Op 27 oktober 2026 heeft CISA CVE-2026-48356 toegevoegd aan haar Known Exploited Vulnerabilities-catalogus.
Deze catalogus bevat kwetsbaarheden waarvoor voldoende aanwijzingen bestaan dat ze daadwerkelijk worden misbruikt.
De opname bevestigt dat PolyShell niet uitsluitend een theoretisch beveiligingsprobleem is.
Sansec rapporteerde bovendien al vanaf maart 2026 geautomatiseerde aanvallen op Magento-webshops.
Bij onderzochte aanvallen werden schadelijke PHP-bestanden geplaatst, waaronder webshells waarmee aanvallers verdere toegang tot een webshop konden verkrijgen.
De exacte omvang van succesvolle compromitteringen kan niet uitsluitend uit deze meldingen worden afgeleid.
Wel staat vast dat exploitatiepogingen zijn waargenomen en dat CISA de kwetsbaarheid als actief misbruikt classificeert.
Welke Magento- en Adobe Commerce-versies zijn getroffen?
Adobe heeft CVE-2026-48356 opgenomen in beveiligingsbulletin APSB26-73.
De volgende versies en eerdere releases van de betreffende onderhoudslijnen worden als getroffen aangemerkt:
- Adobe Commerce 2.4.9.
- Adobe Commerce 2.4.8-p5 en ouder.
- Adobe Commerce 2.4.7-p10 en ouder.
- Adobe Commerce 2.4.6-p15 en ouder.
- Adobe Commerce 2.4.5-p17 en ouder.
- Adobe Commerce 2.4.4-p18 en ouder.
- Magento Open Source 2.4.9.
- Magento Open Source 2.4.8-p5 en ouder.
- Magento Open Source 2.4.7-p10 en ouder.
- Magento Open Source 2.4.6-p15 en ouder.
Ook ondersteunde Adobe Commerce B2B-versies vallen binnen het betreffende beveiligingsbulletin.
Welke beveiligingsupdates zijn beschikbaar?
Adobe heeft de kwetsbaarheid verholpen via de beveiligingsupdates van juli 2026.
Voor Adobe Commerce zijn onder andere de volgende gecorrigeerde onderhoudsniveaus beschikbaar:
- 2.4.9-2026-jul.
- 2.4.8-2026-jul.
- 2.4.7-2026-jul.
- 2.4.6-2026-jul.
- 2.4.5-2026-jul.
- 2.4.4-2026-jul.
Voor Magento Open Source zijn beveiligingsupdates beschikbaar voor de ondersteunde releasegroepen 2.4.6 tot en met 2.4.9.
Adobe publiceerde op 13 oktober bovendien beveiligingsbulletin APSB26-153 met nieuwe beveiligingscorrecties.
Daarom adviseert Vservs om niet alleen de PolyShell-patch te controleren, maar ook vast te stellen of de aanvullende beveiligingsupdates van september en oktober correct zijn geïnstalleerd.
Voor CVE-2026-75650 is daarnaast een afzonderlijke hotfix vereist die Adobe expliciet noemt bij het oktoberbulletin.
Controleer altijd de daadwerkelijk geïnstalleerde patches. Alleen het basisversienummer van Magento is onvoldoende om vast te stellen of alle beveiligingscorrecties aanwezig zijn.
Welke gevolgen kan een succesvolle aanval hebben?
Wanneer een aanvaller schadelijke PHP-code kan uitvoeren, kunnen de gevolgen zeer ernstig zijn.
Mogelijke gevolgen zijn:
- Installatie van PHP-webshells en backdoors.
- Onbevoegde toegang tot webshopbestanden.
- Wijziging van Magento-configuratiebestanden.
- Manipulatie van winkelwagen- en checkoutfunctionaliteit.
- Injectie van schadelijke JavaScript-code.
- Mogelijke toegang tot klantgegevens.
- Installatie van aanvullende malware.
- Misbruik van de webshop voor betalingsfraude of phishing.
De daadwerkelijke impact hangt af van de webserverconfiguratie en de rechten waarmee de webapplicatie wordt uitgevoerd.
Controleer Magento op PHP-backdoors
Sansec heeft verschillende indicatoren gepubliceerd die kunnen helpen bij het onderzoeken van een mogelijke PolyShell-compromittering.
Controleer vooral de volgende directory:
pub/media/custom_options/Bestanden met de extensies .php, .phtml of .phar binnen deze directory verdienen onmiddellijk nader onderzoek.
Sansec heeft daarnaast de bestandsnaam accesson.php gekoppeld aan aanvallen waarbij aanvullende backdoors werden geplaatst.
Ook bestandsnamen zoals index.php, json-shell.php en bypass.phtml zijn tijdens onderzochte aanvallen waargenomen.
Deze bestandsnamen zijn indicatoren en vormen afzonderlijk geen sluitend bewijs van compromittering.
Onderzoek daarnaast:
- Onbekende PHP-bestanden in schrijfbare directories.
- Onverwachte wijzigingen in CMS-pagina’s en statische contentblokken.
- Verdachte JavaScript-code in checkoutpagina’s.
- Nieuwe of onbekende Magento-beheerdersaccounts.
- Afwijkende REST API-aanvragen.
- Ongebruikelijke uitgaande netwerkverbindingen.
- Recente wijzigingen in Magento-configuratiebestanden.
Wat moet u doen wanneer PolyShell wordt aangetroffen?
Bij een vermoeden van compromittering adviseert Vservs om eerst relevante bestanden, toegangslogs en andere bewijsmiddelen veilig te stellen.
Verwijder niet uitsluitend het eerste aangetroffen schadelijke bestand.
Een aanvaller kan aanvullende backdoors of wijzigingen hebben aangebracht.
Laat de volledige webshop onderzoeken en controleer of de oorspronkelijke kwetsbaarheid daadwerkelijk is verholpen.
Wanneer onbevoegde toegang is bevestigd, moeten ook relevante beheerderssessies, toegangsgegevens en mogelijke gegevensblootstelling worden onderzocht.
Hoe beschermt u Magento tegen PolyShell?
Vservs adviseert de volgende maatregelen:
- Controleer de geïnstalleerde Magento-versie en beveiligingspatches.
- Installeer de toepasselijke PolyShell-beveiligingscorrectie.
- Controleer ook de beveiligingsupdates van oktober 2026.
- Verifieer dat PHP niet uitvoerbaar is binnen openbare uploaddirectories.
- Controleer toegangsbeperkingen voor pub/media/custom_options/.
- Onderzoek verdachte bestandsuploads en gewijzigde bestanden.
- Controleer webshopaccounts en checkoutfunctionaliteit.
- Maak gebruik van passende beveiligingsmonitoring en malwaredetectie.
Het blokkeren van PHP-uitvoering binnen een uploaddirectory kan de gevolgen van een aanval beperken, maar verhindert niet noodzakelijk dat schadelijke bestanden worden opgeslagen.
Een correcte beveiligingspatch blijft daarom noodzakelijk.
Managed VPS en Magento Hosting bij Vservs
Vservs levert professioneel beheerde hostinginfrastructuur voor bedrijven, organisaties en webshops.
Onze Managed VPS Servers bieden serverbeheer, monitoring, back-ups en onderhoud van de hostingomgeving.
Ook bij managed hosting blijft het noodzakelijk om Magento, Adobe Commerce en gebruikte extensies regelmatig te actualiseren.
Bezoek daarnaast de Vservs Security-beveiligingsupdates voor actuele beveiligingsinformatie.
Conclusie
De Magento PolyShell kwetsbaarheid CVE-2026-48356 wordt actief misbruikt en kan onder bepaalde omstandigheden leiden tot het uploaden en uitvoeren van schadelijke PHP-bestanden.
Adobe heeft beveiligingspatches beschikbaar gesteld, maar eerder kwetsbare webshops kunnen nog steeds schadelijke bestanden bevatten.
Vservs adviseert Magento- en Adobe Commerce-beheerders om de actuele patchstatus onmiddellijk te controleren en waar nodig onderzoek uit te voeren naar mogelijke PHP-backdoors.