CISA upozorava na PolyShell i aktivne Brotli napade
CISA je u katalog poznatih aktivno iskorišćenih ranjivosti uvrstila CVE-2026-48356 u Adobe Commerce i Magento, poznatu kao PolyShell, sa CVSS ocenom 9,3, kao i CVE-2026-111497 u Google Brotli biblioteci, ocenjen sa 9,2. Obe greške mogu dovesti do izvršavanja proizvoljnog koda u određenim okolnostima, a bezbednosni istraživači već beleže zloupotrebe.
Stotine e-trgovina kompromitovano preko PolyShell-a
Sansec je registrovao da napadači koriste PolyShell za proboj u stotine e-trgovina. Aktivnost traje najmanje od jula 2025. godine, a cilj je bio ubacivanje zlonamernog učitavača kroz Magento CMS blok.
Učitavač je napravljen da preuzme i izvrši teret koji kontroliše napadač. Ipak, naredna faza malvera još nije pronađena, pa tačan cilj kampanje nije utvrđen. Ranjivost je opisana kao neograničeno otpremanje fajla opasnog tipa; posledica može biti izvršavanje koda u kontekstu trenutnog korisnika i potencijalno preuzimanje kontrole nad nalogom ili sesijom.
Brotli greška širi rizik izvan jedne platforme
CVE-2026-111497 pogađa Brotli dekoder. Posebno pripremljen Brotli tok može da ošteti memorijsko stanje susednog dekodera, otkrije osetljiv sadržaj memorije, izazove uskraćivanje usluge ili potencijalno omogući izvršavanje koda bez prijave.
Previdian je do 27. oktobra 2026. zabeležio jedan pokušaj protiv svojih honeypot senzora sa IP adrese iz SAD. ELLIO je prijavio saobraćaj koji koristi javno dostupan eksploatacioni kod i koji je, prema njihovoj proveri, omogućio pristup komandnoj ljusci na ranjivim izdanjima. Zabeleženi pokušaj bio je usmeren na Node.js v24.22.0.
Izloženost ne zavisi samo od prisustva biblioteke. Rizik nastaje kada aplikacija prosleđuje Brotli podatke pod kontrolom napadača dekoderu, uključujući upotrebu node:zlib. Sysdig navodi da Express 5 sa podrazumevanim JSON parsiranjem obuhvata veliki broj takvih instanci, dok se prioritet zakrpa treba određivati prema stvarnoj dostupnosti ranjivog toka.
Ažuriranje je jedina potpuna mera za Node.js
Node.js je ranjivost ispravio u verzijama 22.23.4, 24.22.1 i 26.12.1. Akamai ističe da ne postoji zaobilazno rešenje, zbog čega je nadogradnja jedina potpuna sanacija; sistemi na ukinutim granama izdanja treba da pređu na podržanu granu.
Ranjivost je pokrenula hitne provere i zakrpe u nizu projekata i proizvoda, među kojima su PHP, Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, PHP Brotli ekstenzija i Ruby gem brotli. PHP je objavio verzije 8.5.12-1, 8.4.27-1, 8.3.36-1 i 8.2.35-1.
Za poslovne timove praktičan korak je da najpre utvrde gde rade Adobe Commerce, Magento i Node.js instance, zatim bez odlaganja primene dostupne zakrpe i provere CMS blokove, tokove otpremanja fajlova i obradu spolja dostavljenih Brotli podataka.