CISA добавило PolyShell и уязвимость Brotli в каталог KEV
Агентство по кибербезопасности и защите инфраструктуры США, CISA, добавило в каталог Known Exploited Vulnerabilities две уязвимости с признаками активной эксплуатации: CVE-2026-48356 в Adobe Commerce и Magento с оценкой CVSS 9,3 и CVE-2026-111497 в декодере Google Brotli с CVSS 9,2. Первую, известную как PolyShell, злоумышленники использовали для взлома сотен интернет-магазинов.
PolyShell затронула магазины на Adobe Commerce и Magento
CVE-2026-48356 связана с неограниченной загрузкой файла опасного типа. Она позволяет выполнить произвольный код в контексте текущего пользователя и потенциально получить повышенный доступ либо контроль над учётной записью или сессией.
Компания Sansec сообщила, что наблюдала эксплуатацию PolyShell для внедрения вредоносного загрузчика через CMS-блок Magento. Этот компонент загружает и исполняет полезную нагрузку, которой управляет атакующий. Следующую стадию вредоносного ПО исследователи пока не получили, поэтому точные цели кампании не установлены.
Активность, по оценке Sansec, продолжается как минимум с июля 2025 года. Для владельцев интернет-магазинов это означает необходимость проверить CMS-блоки и серверы на несанкционированные изменения, а также оперативно установить доступные исправления Adobe Commerce и Magento.
Трафик эксплуатации уязвимости Brotli уже замечен
CVE-2026-111497 получила также названия Broccoli2Shell, HTTP2Shell и Node2Shell. Некорректно обработанный поток Brotli может повредить память состояния декодера, раскрыть содержимое памяти, вызвать отказ в обслуживании или потенциально привести к выполнению произвольного кода без аутентификации.
Previdian зарегистрировала одну попытку эксплуатации на своих honeypot-сенсорах с IP-адреса из США по состоянию на 27 октября 2026 года. ELLIO также зафиксировала эксплуатационный трафик: попытка была направлена на Node.js v24.22.0 и, по оценке исследователей, соответствовала публичному инструменту для получения оболочки на уязвимых сборках.
Rapid7 уточняет, что риск для приложения зависит от того, передаёт ли оно в затронутый декодер данные Brotli, контролируемые атакующим. Sysdig отдельно отмечает, что проблема относится не к каждому сервису на Node.js, а к сервисам, которые декодируют такой входящий поток; Express 5 со стандартным разбором JSON может относиться к этой группе.
Какие обновления следует оценить
Уязвимый Brotli используется во множестве проектов. Исправления или оценку влияния выпустили Node.js, Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, расширение PHP Brotli и Ruby gem brotli. PHP поставил версии 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1.
Node.js устранил проблему в версиях 22.23.4, 24.22.1 и 26.12.1. Akamai подчёркивает, что обходного решения нет: полной мерой защиты остаётся обновление, а пользователям снятых с поддержки веток следует перейти на поддерживаемые релизы.
Бизнесу стоит инвентаризировать Adobe Commerce, Magento и компоненты, использующие Brotli, определить публично доступные сервисы и проверить, принимают ли они сжатые данные от внешних пользователей. Приоритет обновления следует сопоставить с этой достижимостью, а для магазинов на Magento — дополнительно провести поиск внедрённых загрузчиков и изменений CMS-блоков.