CISA a adăugat marți în catalogul Known Exploited Vulnerabilities (KEV) două vulnerabilități exploatate activ: PolyShell, din Adobe Commerce și Magento, și o problemă în biblioteca de decodare Google Brotli. Prima a fost folosită pentru a compromite sute de magazine online; pentru a doua, cercetătorii au observat trafic de exploatare, dar amploarea campaniei rămâne necunoscută.
PolyShell a deschis sute de magazine către atacatori
CVE-2026-48356 are scorul CVSS 9,3 și permite încărcarea nerestricționată a fișierelor cu tipuri periculoase în Adobe Commerce și Magento. În funcție de contextul utilizatorului afectat, vulnerabilitatea poate duce la executarea de cod arbitrar și la obținerea unui acces privilegiat sau a controlului asupra contului ori sesiunii victimei.
Sansec a raportat că atacatorii exploatează PolyShell pentru a compromite sute de magazine online, injectând un loader malițios printr-un bloc CMS din Magento. Acesta este conceput să descarce și să execute o încărcătură controlată de atacator, însă cercetătorii nu au recuperat până acum malware-ul din etapa următoare, ceea ce împiedică stabilirea obiectivelor exacte ale campaniei.
Activitatea ar fi în desfășurare cel puțin din iulie 2025, potrivit evaluării citate în raport. Pentru operatorii de magazine, compromiterea CMS-ului poate transforma infrastructura de comerț electronic într-un punct de distribuție a codului malițios și poate pune în pericol conturile, sesiunile și datele gestionate de platformă.
Brotli: de la coruperea memoriei la execuție de cod
A doua problemă, CVE-2026-111497, are scorul CVSS 9,2 și afectează Google Brotli. Un atacator neautentificat poate furniza un flux Brotli construit special, capabil să corupă memoria adiacentă din starea decodorului, să dezvăluie informații sensibile din memorie, să provoace indisponibilitatea serviciului sau, în anumite condiții, să execute cod arbitrar.
Vulnerabilitatea este cunoscută și sub numele Broccoli2Shell, HTTP2Shell și Node2Shell. Rapid7 avertizează că riscul apare atunci când aplicația decomprimă date Brotli furnizate de atacator folosind node:zlib; efectul poate varia de la oprirea procesului la divulgarea memoriei sau execuție de cod la distanță, în funcție de modul în care aplicația prelucrează datele.
La 27 octombrie 2026, firma de informații despre amenințări Previdian înregistrase o tentativă împotriva senzorilor săi honeypot, provenită de la o adresă IP din Statele Unite. Separat, ELLIO a raportat luni trafic de exploatare real, inclusiv un exploit public despre care spune că obține un shell pe configurații vulnerabile.
ELLIO a asociat activitatea cu adresa 94.154.43[.]7, geolocalizată în Țările de Jos, care ar fi vizat și PHP2Shell — două vulnerabilități critice din PHP ce pot permite execuție de cod de la distanță fără autentificare. Potrivit firmei, fluxul Brotli, deplasarea etapizată în memorie, perechea de salturi și livrarea exploitului sunt corecte pentru Node.js 24.22.0 și corespund instrumentului public, indicând o operațiune de exploatare la scară largă.
Actualizarea contează, dar expunerea depinde de configurație
Fiind o bibliotecă open-source răspândită, Brotli a declanșat un răspuns rapid din partea mai multor furnizori, care au publicat corecții sau evaluează produsele afectate. PHP a livrat versiunile 8.5.12-1, 8.4.27-1, 8.3.36-1 și 8.2.35-1; au fost anunțate măsuri și pentru Node.js, Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, extensia PHP Brotli și gemul Ruby brotli.
Akamai precizează că Node.js a corectat problema în versiunile 22.23.4, 24.22.1 și 26.12.1. Recomandarea sa este fermă: consultarea avizelor furnizorilor și actualizarea, deoarece avizul Node.js nu oferă o soluție temporară completă; organizațiile care folosesc ramuri ieșite din suport trebuie să migreze la o versiune menținută.
Wiz estimează că 91% dintre mediile cloud au resurse vulnerabile la CVE-2026-111497, iar 82% au instanțe Node.js expuse public. Totuși, Sysdig avertizează că nu orice serviciu Node.js este vulnerabil în practică: riscul privește serviciile care decomprimă date Brotli influențate de atacator; Express 5, cu parsarea JSON implicită, poate include multe instanțe în această categorie.
Pentru organizațiile din România și UE, cifrele globale sunt un semnal de verificare, nu dovada că fiecare mediu este exploatabil. Echipele tehnice ar trebui să inventarieze magazinele Magento, serviciile Node.js și componentele Brotli, să stabilească dacă datele comprimate pot veni din surse neîncredere și să prioritizeze corecțiile în funcție de expunerea publică și de posibilitatea exploatării.
În cazul magazinelor, actualizarea trebuie însoțită de verificarea blocurilor CMS și a fișierelor încărcate, precum și de căutarea unor modificări neautorizate și a activității neobișnuite a conturilor sau sesiunilor. Agențiile civile federale din SUA au termen până la 10 noiembrie 2026 pentru remedierea celor două vulnerabilități; companiile și instituțiile europene nu trebuie să aștepte acel termen pentru a-și reduce riscul.
