Ngày 27 tháng 10 năm 2026, CISA đã đưa CVE-2026-48356, một lỗ hổng tải lên tệp không kiểm soát (unrestricted file upload) trong Adobe Commerce và Magento, vào danh mục lỗ hổng đã bị khai thác. Việc này cho thấy lỗ hổng đã bị khai thác trong thực tế. Nó không có nghĩa mọi cửa hàng đều đã bị xâm nhập, cũng không cho biết ai đang tấn công hay khách hàng nào bị ảnh hưởng. Với chủ cửa hàng, điều thay đổi là câu trả lời “chúng tôi đã cập nhật” không còn đủ. Bạn cần bằng chứng bản vá đã được áp dụng, và một đợt rà soát riêng, có phạm vi rõ ràng, về khả năng cửa hàng đã bị xâm nhập trước đó, kèm kết quả rà soát và những điểm còn chưa chắc chắn.

Các nguồn chính thức nói gì

Bản tin APSB26-73 của Adobe liệt kê CVE-2026-48356 trong số các vấn đề được xử lý. Hướng dẫn thực hành nằm trong bài viết cập nhật của Adobe, cung cấp các bản vá riêng cho từng nhánh và bộ thành phần được hỗ trợ. Có hai điểm chủ cửa hàng cần lưu ý. Số phiên bản cơ sở hiển thị trong trang quản trị không chứng minh các bản vá bổ sung này đã được áp dụng, vì chúng có thể tách rời khỏi bản phát hành chính. Và các cửa hàng chạy trên hạ tầng đám mây của Adobe Commerce có thể đã nhận bản vá qua cơ chế cloud patches, nên việc áp dụng lại có thể thất bại. Nhà cung cấp của bạn nên làm theo hướng dẫn hiện hành của Adobe cho đúng nhánh và mô hình triển khai, thay vì dựa vào một bảng phiên bản cũ.

Riêng về dấu vết xâm nhập, các nhà nghiên cứu tại Sansec ghi nhận mã JavaScript độc hại được lưu trong các khối CMS của cơ sở dữ liệu Magento, cùng việc tái sử dụng quyền truy cập có được từ các lần xâm nhập trước. Vì vậy nội dung quản lý trong cơ sở dữ liệu cần được rà soát cùng với tệp và tài khoản. Xóa một đoạn mã nhìn thấy được, hay vá một điểm yếu đã biết, không chứng minh quyền truy cập trước đó đã bị loại bỏ.

Bắt đầu từ trách nhiệm và thông tin cơ bản

Trước khi yêu cầu hành động, hãy xác nhận ai chịu trách nhiệm. Hỏi nhà cung cấp của bạn:

  • Ai phụ trách vá lỗi và xử lý sự cố cho cửa hàng này?
  • Cửa hàng đang dùng phiên bản sản phẩm nào, Magento Open Source hay Adobe Commerce, thuộc nhánh phát hành nào và gồm những thành phần nào?
  • Môi trường production chạy trên hạ tầng đám mây của Adobe Commerce, hay trên hạ tầng do bạn hoặc nhà cung cấp tự quản lý?

Các câu trả lời này quyết định bản vá nào áp dụng và ai nên thực hiện.

Yêu cầu bằng chứng vá lỗi có ghi ngày

Hãy yêu cầu một bản ghi ngắn nêu rõ CVE-2026-48356 và APSB26-73, xác định bản vá Adobe khuyến nghị cho nhánh của bạn, và xác nhận bản vá đó đã được áp dụng và kiểm chứng trên website đang vận hành, kèm ngày thực hiện. Một chuỗi phiên bản hay một email “đã cập nhật xong” chung chung là chưa đủ, vì bản vá liên quan có thể nằm ngoài phiên bản cơ sở. Nếu nhà cung cấp không chắc, hãy đề nghị họ đối chiếu với hướng dẫn hiện hành của Adobe thay vì phỏng đoán.

Bảo vệ sao lưu và bằng chứng trước

Trước khi ai đó thay đổi môi trường production, hãy xác nhận đã có sao lưu gần đây cho cả tệp lẫn cơ sở dữ liệu, và việc khôi phục đã thực sự được kiểm thử. Bài viết về quy tắc chiến lược sao lưu của chúng tôi giải thích thế nào là một quy trình khôi phục có thể thực hiện được trên thực tế. Hãy đề nghị giữ nguyên nhật ký, thư mục tải lên và dữ liệu đơn hàng thay vì dọn dẹp, vì việc rà soát sự cố cần những dữ liệu này còn nguyên vẹn.

Yêu cầu rà soát xâm nhập, không chỉ quét tệp

Một kết quả quét sạch chỉ trên tệp không cho thấy nội dung quản lý trong cơ sở dữ liệu đã được rà soát. Hãy yêu cầu một đợt rà soát bao gồm:

  • các khối CMS, trang và nội dung khác quản lý trong cơ sở dữ liệu
  • tệp bất thường trong các vị trí tải lên
  • tài khoản quản trị không ai nhận ra
  • các dấu hiệu khác của việc duy trì hoặc tiếp tục truy cập

Nếu phát hiện điều đáng ngờ, hãy thống nhất với nhà cung cấp kế hoạch khoanh vùng, dọn dẹp và lấy lại quyền kiểm soát tài khoản cùng quyền truy cập. Các bước phù hợp phụ thuộc vào những gì được tìm thấy, nên không có công thức chung nào đáng để sao chép từ một bài viết.

Kiểm tra lại website sau khi xử lý

Sau khi cập nhật hoặc dọn dẹp có ủy quyền, hãy kiểm tra các trang cửa hàng tiêu biểu, đăng nhập quản trị và những luồng khách hàng quan trọng như thanh toán. Dùng chế độ thử nghiệm được phép ở những bước liên quan đến thanh toán để không phát sinh giao dịch thật. Ghi lại những gì đã kiểm tra, những gì còn chưa chắc chắn, và cách website sẽ được giám sát trong những tuần tới.

Ba kết quả cần lưu giữ

Hãy yêu cầu nhà cung cấp ba thứ: bằng chứng vá lỗi, phạm vi và kết quả rà soát xâm nhập, và bản ghi kiểm tra khôi phục cùng các luồng khách hàng. Gộp lại, các tài liệu này ghi nhận bản vá nào đã được áp dụng, những gì đã được kiểm tra về dấu vết xâm nhập trước đó và kết quả của các kiểm tra ấy. Chúng không bảo đảm rằng chưa từng có sự cố nào xảy ra hay mọi dấu vết đã được loại bỏ, vì không đợt rà soát nào có thể chứng nhận điều đó. Bài viết này là danh sách kiểm tra dành cho chủ cửa hàng, không phải chẩn đoán cho bất kỳ website cụ thể nào.

Nếu bạn muốn việc này được thực hiện theo một phạm vi có ghi chép rõ ràng cho cửa hàng của mình, bạn có thể trao đổi qua dịch vụ bảo trì Magento của chúng tôi.

Nguồn được kiểm tra tính đến ngày 29 tháng 10 năm 2026.