CISA semnalează exploatarea activă a vulnerabilităților PolyShell și Brotli, după ce sute de magazine Magento au fost compromise

Două vulnerabilități critice au intrat pe 27 octombrie 2026 în catalogul Known Exploited Vulnerabilities (KEV) al CISA, iar ambele sunt deja folosite în atacuri reale. Prima este o breșă de încărcare de fișiere în Adobe Commerce și Magento, prin care infractorii au compromis sute de magazine online. A doua se află în Brotli, biblioteca de compresie inclusă în Node.js, PHP, .NET, Python și zeci de alte produse, iar traficul de exploatare pentru ea a început să apară pe senzorii din internet.

Ce s-a întâmplat

CISA a adăugat cele două intrări după ce a confirmat dovezi de exploatare în mediul real. Agențiile civile federale din Statele Unite au termen până pe 10 noiembrie 2026 să aplice corecțiile, dar acest termen este un reper util pentru toată lumea: când o vulnerabilitate ajunge în KEV, atacatorii o folosesc deja.

CVE-2026-48356, „PolyShell” (CVSS 9,3)

Este vorba despre o încărcare nerestricționată a unui fișier de tip periculos în Adobe Commerce și Magento. Un atac reușit duce la execuție de cod arbitrar în contextul utilizatorului curent și îi poate oferi atacatorului acces privilegiat sau control asupra contului ori sesiunii victimei.

În practică, vulnerabilitatea este exploatată la scară largă. Atacatorii au pătruns în sute de magazine online și au plantat un loader malițios într-un bloc CMS Magento, componenta de conținut pe care comercianții o folosesc pentru bannere și texte promoționale. Loader-ul contactează infrastructura controlată de atacatori și descarcă o a doua etapă a atacului. Deocamdată nu a fost recuperat niciun malware ulterior, așa că scopul final al campaniei rămâne neclar, deși furtul de carduri și de credențiale este finalul obișnuit în magazinele compromise. Activitatea pare să fi început cel puțin din iulie 2025.

CVE-2026-111497, „Node2Shell” (CVSS 9,2)

Cunoscută și sub numele Broccoli2Shell și HTTP2Shell, aceasta este o eroare de valoare de retur neverificată în decodorul Brotli dezvoltat de Google. Un atacator de la distanță, neautentificat, care poate trimite un flux Brotli comprimat special construit către o aplicație vulnerabilă, poate corupe starea adiacentă a decodorului din memorie. În funcție de țintă, rezultatul este o prăbușire a procesului, scurgerea unor date sensibile din memorie sau execuție de cod de la distanță.

Exploatarea nu mai este teoretică. Telemetria de tip honeypot a înregistrat o tentativă de exploatare de la o adresă din SUA pe 27 octombrie, iar senzori separați au capturat trafic de exploatare real de la un IP găzduit în Olanda, 94.154.43[.]7, care sondează în paralel și cele două vulnerabilități PHP2Shell de execuție de cod din PHP. Payload-ul capturat este un exploit Node2Shell construit corect pentru Node.js 24.22.0, identic cu uneltele publice, ceea ce indică un operator care se pregătește pentru exploatare în masă, nu pentru un simplu test.

De ce contează

Brotli este peste tot. Pentru că biblioteca este încorporată în atât de multe runtime-uri și produse, vulnerabilitatea a declanșat un răspuns de urgență neobișnuit de amplu. Există deja versiuni corectate pentru Node.js (22.23.4, 24.22.1 și 26.12.1), PHP (8.5.12-1, 8.4.27-1, 8.3.36-1 și 8.2.35-1), Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, extensia PHP Brotli și gem-ul Ruby brotli, iar furnizori precum Cisco, Cloudflare, F5, Fortinet, Palo Alto Networks, Red Hat, Ubuntu și Microsoft au publicat avize.

Datele de telemetrie cloud publicate săptămâna aceasta sugerează că aproximativ nouă din zece medii cloud conțin cel puțin o resursă expusă la CVE-2026-111497, iar peste opt din zece au instanțe Node.js accesibile din internet. Pentru Node.js nu există o soluție alternativă: actualizarea este singura remediere completă, iar cine rulează încă o linie de versiuni retrasă trebuie să treacă la una suportată.

Totuși, riscul nu este uniform. Node2Shell afectează doar serviciile care decomprimă date Brotli pe care un atacator le poate influența. Express 5 cu parsarea implicită a corpului JSON plasează o parte mare din aplicațiile Node.js în această categorie, așa că ordinea de patch-uire ar trebui dictată de expunere, nu doar de numărul de versiune. Impactul demonstrat până acum constă în prăbușiri la scară largă și execuție de cod în configurații mai restrânse.

Pentru operatorii de Magento situația este mai simplă și mai gravă: exploit-ul este ieftin, magazinul este public prin definiție, iar payload-ul este deja plantat.

Ce este de făcut

Actualizați Adobe Commerce și Magento acum. Aplicați corecția Adobe pentru CVE-2026-48356 pe fiecare instanță de producție și de test.
Căutați loader-ul. Verificați toate blocurile CMS, widget-urile și conținutul static modificat recent pentru tag-uri de script necunoscute sau JavaScript obfuscat și consultați jurnalul de audit al administrării pentru modificări neașteptate începând din iulie 2025.
Inventariați expunerea la Brotli. Listați fiecare serviciu care folosește Node.js, PHP, Bun, .NET, Python, Envoy, Istio sau ClickHouse și actualizați la versiunile corectate menționate mai sus. Reconstruiți containerele, ca runtime-ul corectat să ajungă efectiv în producție.
Prioritizați după expunere. Serviciile expuse în internet care acceptă corpuri de cerere comprimate, în special API-urile Express 5, au prioritate.
Blocați și monitorizați. Adăugați 94.154.43[.]7 pe listele de blocare și configurați alerte pentru fluxuri Brotli malformate care ajung la perimetru.
Verificați, nu presupuneți. Un fișier de dependențe nu este dovada că binarul corectat rulează cu adevărat.

Astfel de vulnerabilități arată de ce intervalul dintre un exploit public și o flotă actualizată trebuie măsurat în ore, nu în săptămâni. Scanarea continuă de vulnerabilități a magazinelor și a serverelor de API expuse, pe care echipa noastră o rulează pentru clienți, semnalează versiunile Magento depășite și runtime-urile vulnerabile înainte ca următorul val de exploatare în masă să ajungă la ele.