Американската Агенция за киберсигурност и сигурност на инфраструктурата (CISA) във вторник добави две уязвимости, засягащи Adobe Commerce и Magento, както и библиотеката за декодиране Brotli на Google, към своя каталог с известни експлоатирани уязвимости (KEV), позовавайки се на доказателства за активна експлоатация.

Уязвимостите са посочени по-долу:

  • CVE-2026-111497 (CVSS оценка: 9.2) – Уязвимост от тип непроверена върната стойност в Google Brotli, която може да позволи на отдалечен неавтентифициран атакуващ да повреди съседна памет за състоянието на декодера, да разкрие чувствително съдържание на паметта, да предизвика отказ на услуга или потенциално да изпълни произволен код чрез манипулиран поток, компресиран с Brotli.
  • CVE-2026-48356 (CVSS оценка: 9.3) – Уязвимост от тип неограничено качване на файл с опасен тип в Adobe Commerce и Magento, която може да доведе до изпълнение на произволен код в контекста на текущия потребител, потенциално осигурявайки повишени права или контрол над акаунта или сесията на жертвата.

Развитието идва дни след като Sansec съобщи, че е наблюдавала атакуващи да използват CVE-2026-48356, известна още като PolyShell, за да пробият стотици магазини за електронна търговия с цел инжектиране на зловреден зареждач през CMS блок в Magento.

Зареждачът е проектиран да извлича и изпълнява контролиран от атакуващия зловреден код, въпреки че до момента не е прихванат зловреден софтуер от следващ етап, което затруднява определянето на точните цели на кампанията. Счита се, че дейността продължава поне от юли 2025 г.

Що се отнася до CVE-2026-111497 (позната още като Broccoli2Shell, HTTP2Shell и Node2Shell), телеметричните данни от компанията за разузнаване на заплахи Previdian показват, че към 27 октомври 2026 г. е регистриран един опит за експлоатация срещу нейните сензори-примамки (honeypot) от IP адрес в САЩ. Към момента не е известно дали тези опити имат широк обхват.

„Атакуващ, който може да подаде Brotli данни, които приложение декомпресира чрез node:zlib, може да повреди паметта на процеса“, заявиха от Rapid7. „Според Node.js тази повреда може да доведе до срив на процеса, разкриване на чувствителна памет на процеса или отдалечено изпълнение на код. Следователно излагането на риск зависи от това дали дадено приложение подава компресирани данни, контролирани от атакуващ, към засегнатия декодер.“

От ELLIO също съобщиха в понеделник, че техните сензори „са регистрирали трафик от експлойти за CVE-2026-111497 в реална среда, носещ публичния експлойт, за който потвърдихме, че осигурява командна обвивка (shell) при уязвими компилации“. Дейността произхожда от 94.154.43[.]7 – IP адрес, локализиран в Нидерландия, който също така е участвал в опити за експлоатация, насочени към PHP2Shell – два критични дефекта в PHP, които могат да доведат до неавтентифицирано отдалечено изпълнение на код.

„Зловредният код на атакуващия е автентичен, правилно структуриран опит за експлоатация чрез Node2Shell за node v24.22.0 – потокът от Brotli, поетапното преместване, водещата двойка и доставянето са напълно коректни и идентични с публичните инструменти“, заявиха от ELLIO. „Това показва, че отдалеченото изпълнение на код (RCE) е възприето от злонамерен субект, фокусиран върху масова експлоатация.“

Фактът, че Brotli е широко разпространена библиотека с отворен код и се използва от множество проекти, предизвика спешна реакция и накара редица доставчици да пуснат корекции за сигурност или да оценят дали продуктите им са засегнати от дефекта.

Това включва PHP, който пусна версии 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1, както и Node.js, Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, разширението PHP Brotli и библиотеката (gem) brotli за Ruby. Връзки към част от бюлетините са посочени по-долу:

  • Amazon Linux
  • Bun
  • Cisco
  • Cloudflare
  • CloudLinux
  • Envoy Proxy
  • Fortinet
  • Imperva
  • Istio
  • Microsoft Azure
  • Microsoft .NET
  • Node.js
  • Palo Alto Networks
  • PHP
  • Qualys
  • Red Hat
  • Safe Security
  • Strapi
  • Tanium
  • Tenable
  • Ubuntu
  • Upwind

„Node.js отстрани уязвимостта във версии 22.23.4, 24.22.1 и 26.12.1“, заявиха от Akamai. „Бюлетинът на Node.js не предлага заобиколно решение, така че обновяването е единственото цялостно решение. Организациите, използващи неподдържани версии, трябва да преминат към поддържана версия.“

Притежаваната от Google компания Wiz предупреди, че „91% от облачните среди съдържат ресурси, уязвими към CVE-2026-111497, а 82% от облачните среди имат публично достъпни инстанции на Node.js“.

„Node2Shell не е дефект във всяка услуга на Node.js, а грешка в услуги, които декодират подадени от атакуващ Brotli данни“, отбелязват от Sysdig. „Express 5 с парсване на JSON по подразбиране поставя голям брой от тези инстанции в рисковата група. Доказаното въздействие досега включва масови сривове и изпълнение на код при специфична конфигурация, така че редът за инсталиране на корекции за сигурност трябва да следва достъпността.“

Федералните цивилни изпълнителни агенции (FCEB) имат срок до 10 ноември 2026 г. да приложат необходимите корекции за сигурност срещу двата дефекта.