CISA внесла в каталог KEV уязвимости Adobe Commerce и Brotli: PolyShell уже поразила сотни магазинов

Агентство по кибербезопасности и защите инфраструктуры США (CISA) во вторник добавило две уязвимости в каталог активно эксплуатируемых уязвимостей (Known Exploited Vulnerabilities, KEV). Основанием стали свидетельства реальных атак.

CVE-2026-48356 (CVSS 9.3), также известная как PolyShell, затрагивает Adobe Commerce и Magento. Платформа не ограничивает загрузку файлов опасных типов, что позволяет выполнить произвольный код с правами текущего пользователя и потенциально получить контроль над учётной записью или сессией жертвы.

CVE-2026-111497 (CVSS 9.2) обнаружена в декодере Brotli от Google. Её называют Broccoli2Shell, HTTP2Shell и Node2Shell. Ошибка связана с непроверяемым возвращаемым значением. Удалённый злоумышленник без аутентификации может с помощью специально сформированного сжатого потока повредить память состояния декодера, получить доступ к конфиденциальным данным в памяти, вызвать отказ в обслуживании, а в отдельных случаях выполнить произвольный код.

Сотни взломанных магазинов

За несколько дней до решения CISA компания Sansec сообщила, что злоумышленники использовали PolyShell для взлома сотен интернет-магазинов. Через CMS-блок Magento они внедряли вредоносный загрузчик, который получает и запускает полезную нагрузку с подконтрольного атакующим сервера. Вредоносное ПО следующего этапа пока не обнаружено, поэтому конечные цели кампании остаются неясными. По оценке исследователей, активность продолжается как минимум с июля 2025 года.

Первые атаки через Brotli

По данным компании Previdian, на 27 октября 2026 года её ловушки зафиксировали одну попытку эксплуатации CVE-2026-111497 с американского IP-адреса. Насколько широки такие атаки, пока неизвестно.

В ELLIO сообщили, что их сенсоры зарегистрировали трафик с публичным эксплойтом, который, как подтвердили специалисты, позволяет получить командную оболочку на уязвимых сборках. Источником стал адрес 94.154.43[.]7 в Нидерландах, ранее замеченный в атаках на PHP2Shell — две критические уязвимости PHP. По словам ELLIO, нагрузка представляет собой корректную попытку эксплуатации Node2Shell для Node.js v24.22.0, идентичную публичным инструментам, что указывает на интерес оператора, специализирующегося на массовых атаках.

В Rapid7 уточнили, что риск возникает, если приложение распаковывает через node:zlib данные Brotli, которые может подставить злоумышленник. В Sysdig подчеркнули, что уязвимы не все сервисы на Node.js, а лишь те, что декодируют такие данные, однако Express 5 со стандартным разбором JSON попадает в эту группу во множестве инсталляций. Пока продемонстрированы массовые сбои и выполнение кода в узкой конфигурации, поэтому порядок установки исправлений стоит определять по достижимости уязвимого кода. Wiz оценивает, что в 91% облачных сред есть ресурсы, уязвимые к CVE-2026-111497, а в 82% есть публично доступные экземпляры Node.js.

Исправления

Поскольку Brotli широко распространена, на уязвимость экстренно отреагировали многие вендоры. PHP выпустил версии 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1. Исправления или бюллетени также подготовили Node.js, Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, расширение Brotli для PHP и Ruby-гем brotli, а также Red Hat, Ubuntu, Amazon Linux, Cloudflare, Cisco, Microsoft и другие.

Node.js устранил ошибку в версиях 22.23.4, 24.22.1 и 26.12.1. Как отметили в Akamai, обходного решения нет, поэтому единственная полная мера — обновление. Тем, кто использует снятые с поддержки ветки, рекомендуется перейти на поддерживаемые.

Федеральные гражданские ведомства США обязаны устранить обе уязвимости до 10 ноября 2026 года.

Источник: The Hacker News