CISA confirma la explotación activa de las fallas PolyShell y Brotli tras la intrusión en cientos de tiendas Magento
Dos vulnerabilidades críticas entraron el 27 de octubre de 2026 en el catálogo Known Exploited Vulnerabilities (KEV) de CISA, y ambas ya se están utilizando en ataques reales. La primera es una falla de carga de archivos en Adobe Commerce y Magento que los delincuentes han aprovechado para comprometer cientos de tiendas en línea. La segunda está dentro de Brotli, la biblioteca de compresión que incluyen Node.js, PHP, .NET, Python y decenas de productos más, y el tráfico de explotación contra ella ya empezó a llegar a los sensores de internet.
Qué ocurrió
CISA añadió las dos entradas tras confirmar evidencia de explotación en el mundo real. Las agencias civiles federales de Estados Unidos tienen hasta el 10 de noviembre de 2026 para aplicar los parches, pero ese plazo sirve de referencia para todos: cuando una falla llega al KEV, los atacantes ya la están usando.
CVE-2026-48356, «PolyShell» (CVSS 9,3)
Se trata de una carga sin restricciones de archivos de tipo peligroso en Adobe Commerce y Magento. Un ataque exitoso permite ejecutar código arbitrario en el contexto del usuario actual y puede dar al atacante acceso elevado o control sobre la cuenta o la sesión de la víctima.
En la práctica, la falla se está explotando a gran escala. Los atacantes han entrado en cientos de tiendas de comercio electrónico y han plantado un cargador malicioso dentro de un bloque CMS de Magento, el componente de contenido que los comerciantes usan para banners y textos promocionales. El cargador contacta con infraestructura controlada por los atacantes y descarga una segunda etapa. Todavía no se ha recuperado ningún malware posterior, así que el objetivo final de la campaña sigue sin estar claro, aunque el robo de tarjetas y de credenciales es el desenlace habitual en las tiendas comprometidas. La actividad parece estar en marcha desde al menos julio de 2025.
CVE-2026-111497, «Node2Shell» (CVSS 9,2)
Conocida también como Broccoli2Shell y HTTP2Shell, es un error de valor de retorno sin comprobar en el decodificador Brotli de Google. Un atacante remoto y sin autenticar que logre enviar un flujo comprimido con Brotli especialmente diseñado a una aplicación vulnerable puede corromper el estado adyacente del decodificador en memoria. Dependiendo del objetivo, el resultado es una caída del proceso, una fuga de memoria sensible o la ejecución remota de código.
La explotación ya no es teórica. La telemetría de honeypots registró un intento de explotación desde una dirección de Estados Unidos el 27 de octubre, y otros sensores capturaron tráfico de explotación real desde una IP alojada en los Países Bajos, 94.154.43[.]7, que además sondea las dos fallas PHP2Shell de ejecución de código en PHP. La carga capturada es un exploit Node2Shell correctamente construido para Node.js 24.22.0, idéntico a las herramientas públicas, lo que apunta a un operador que se prepara para una explotación masiva y no a una simple prueba.
Por qué importa
Brotli está en todas partes. Como la biblioteca está integrada en tantos entornos de ejecución y productos, la falla desencadenó una respuesta de emergencia inusualmente amplia. Ya hay versiones corregidas para Node.js (22.23.4, 24.22.1 y 26.12.1), PHP (8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1), Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, la extensión PHP Brotli y la gema Ruby brotli, y proveedores como Cisco, Cloudflare, F5, Fortinet, Palo Alto Networks, Red Hat, Ubuntu y Microsoft han publicado avisos.
La telemetría de nube publicada esta semana indica que alrededor de nueve de cada diez entornos en la nube contienen al menos un recurso expuesto a CVE-2026-111497, y que más de ocho de cada diez tienen instancias de Node.js accesibles desde internet. Para Node.js no existe mitigación alternativa: actualizar es la única solución completa, y quien siga en una línea de versiones descontinuada debe pasar a una con soporte.
Dicho esto, el riesgo no es uniforme. Node2Shell solo afecta a los servicios que descomprimen datos Brotli que un atacante puede influir. Express 5 con el análisis de cuerpo JSON por defecto coloca a una gran parte de las aplicaciones Node.js en ese grupo, así que el orden de parcheo debería seguir la exposición real y no solo el número de versión. El impacto demostrado hasta ahora son caídas a gran escala y ejecución de código en configuraciones más acotadas.
Para quienes operan Magento, el panorama es más simple y peor: el exploit es barato, la tienda es pública por definición y la carga maliciosa ya se está plantando.
Qué hacer
- Parchea Adobe Commerce y Magento ahora. Aplica la corrección de Adobe para CVE-2026-48356 en cada instancia de producción y de pruebas.
- Busca el cargador. Revisa todos los bloques CMS, widgets y contenido estático modificado recientemente en busca de etiquetas script desconocidas o JavaScript ofuscado, y consulta el registro de auditoría del panel de administración por cambios inesperados desde julio de 2025.
- Inventaría tu exposición a Brotli. Enumera cada servicio que use Node.js, PHP, Bun, .NET, Python, Envoy, Istio o ClickHouse y actualiza a las versiones corregidas indicadas arriba. Reconstruye los contenedores para que el runtime parcheado llegue realmente a producción.
- Prioriza por exposición. Los servicios expuestos a internet que aceptan cuerpos de petición comprimidos, sobre todo las API en Express 5, van primero.
- Bloquea y vigila. Añade 94.154.43[.]7 a tus listas de bloqueo y genera alertas ante flujos Brotli malformados que lleguen a tu perímetro.
- Verifica, no asumas. Un manifiesto de dependencias no demuestra que el binario corregido esté realmente en ejecución.
Fallas como estas muestran por qué la distancia entre un exploit público y una flota parcheada debe medirse en horas, no en semanas. El escaneo continuo de vulnerabilidades de las tiendas y servidores de API expuestos, el que nuestro equipo realiza para sus clientes, detecta las versiones de Magento desactualizadas y los runtimes vulnerables antes de que la próxima ola de explotación masiva los alcance.