Нападите PolyShell врз Adobe Commerce компромитираат стотици продавници, додека се појавува и сообраќај од напади што го искористуваат пропустот во Brotli

Објавено: 28.10.2026

Американската Агенција за сајбер-безбедност и безбедност на инфраструктурата (CISA) во вторникот додаде две ранливости што ги засегаат Adobe Commerce и Magento, како и библиотеката за декодирање Brotli на Google, во својот каталог на познати искористувани ранливости (KEV), наведувајќи докази за нивно активно искористување.

Ранливостите се наведени подолу:

– CVE-2026-111497 (CVSS-оценка: 9,2) — Ранливост во Google Brotli предизвикана од непроверена повратна вредност, која може да му овозможи на далечински напаѓач без автентикација да ја оштети меморијата на соседните состојби на декодерот, да открие чувствителна содржина од меморијата, да предизвика одбивање на услугата (DoS) или потенцијално да изврши произволен код со помош на специјално изработен Brotli-компресиран тек од податоци.

– CVE-2026-48356 (CVSS-оценка: 9,3) — Ранливост во Adobe Commerce и Magento што овозможува неограничено поставување датотеки со опасен тип. Ова може да доведе до извршување произволен код во контекст на тековниот корисник, со можност за добивање повисоки привилегии или преземање контрола врз сметката или сесијата на жртвата.

Ова се случува неколку дена откако компанијата Sansec соопшти дека забележала напаѓачи кои го искористуваат CVE-2026-48356, познат и како PolyShell, за да компромитираат стотици продавници за електронска трговија и да вметнат злонамерен loader преку CMS-блок во Magento.

Loader-от е дизајниран да преземе и изврши содржина контролирана од напаѓачот. Сепак, досега не е пронајден дополнителен злонамерен софтвер од следната фаза, што го отежнува утврдувањето на точните цели на кампањата. Се проценува дека активноста трае најмалку од јули 2025 година.

Во однос на CVE-2026-111497 (познат и како Broccoli2Shell, HTTP2Shell и Node2Shell), телеметриските податоци од компанијата за разузнавање за закани Previdian покажуваат дека до 27 октомври 2026 година е забележан еден обид за искористување на ранливоста против нејзините honeypot-сензори, од IP-адреса со потекло од САД. Засега не е познато дали овие обиди се одвиваат во голем обем.

„Напаѓач кој може да достави Brotli-податоци што апликацијата ги декомпресира со помош на node:zlib може да ја оштети меморијата на процесот“, соопшти Rapid7. „Според Node.js, ова оштетување може да доведе до пад на процесот, откривање чувствителни податоци од меморијата на процесот или далечинско извршување код. Затоа, изложеноста зависи од тоа дали апликацијата му доставува на засегнатиот декодер компресирани податоци контролирани од напаѓачот.“

Компанијата ELLIO исто така објави во понеделникот дека нејзините сензори „забележале сообраќај од напади што ја искористуваат ранливоста CVE-2026-111497 во реални услови, при што се користи јавнодостапниот експлоит за кој потврдивме дека овозможува отворање shell на ранливите верзии“.

Активноста потекнува од IP-адресата „94.154.43[.]7“, геолокациски поврзана со Холандија. Оваа адреса учествувала и во обиди за искористување на PHP2Shell, односно две критични ранливости во PHP, кои може да овозможат далечинско извршување код без автентикација.

„Payload-от на напаѓачот претставува вистински, правилно структуриран обид за искористување на Node2Shell во Node v24.22.0 — Brotli-текот, поместувањето во меморијата, парот за пренасочување и доставувањето се правилни и идентични со оние во јавно достапните алатки“, соопшти ELLIO. „Ова укажува дека експлоитот за далечинско извршување код (RCE) почнал да се користи од оператор насочен кон масовно искористување на ранливоста.“

Фактот дека Brotli е широко распространета библиотека со отворен код што ја користат бројни проекти предизвика итна реакција. Поради тоа, различни производители објавија безбедносни исправки или започнаа процени за да утврдат дали нивните производи се засегнати од ранливоста.

Меѓу нив е и PHP, кој ги објави верзиите 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1. Исправки објавија и Node.js, Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, PHP-екстензијата Brotli и Ruby-пакетот „brotli“.

Подолу се линковите до дел од безбедносните известувања:

„Node.js ја поправи ранливоста во верзиите 22.23.4, 24.22.1 и 26.12.1“, соопшти Akamai. „Безбедносното известување на Node.js не нуди привремено решение, па надградбата е единствениот начин за целосно отстранување на проблемот. Организациите што користат верзија за која е прекината поддршката треба да преминат на поддржана верзија.“

Wiz, компанија во сопственост на Google, предупреди дека „91% од облачните околини имаат ресурси ранливи на CVE-2026-111497, а 82% од облачните околини имаат јавно изложени Node.js-инстанци“.

„Node2Shell не е пропуст во секоја Node.js-услуга, туку во услугите што декодираат Brotli-податоци врз кои напаѓачот може да влијае“, соопшти Sysdig. „Express 5 со стандардното обработување на JSON-форматот вклучува голем број инстанци во оваа група. Досега демонстрираните последици се падови на системите во голем обем и извршување код во ограничен број конфигурации, па редоследот на инсталирање на исправките треба да зависи од тоа дали ранливоста може да биде достигната од напаѓач.“

Федералните цивилни извршни агенции на САД (FCEB) имаат рок до 10 ноември 2026 година да ги применат потребните безбедносни исправки за двете ранливости.

Извори:

The Hacker News – Adobe Commerce PolyShell Attacks Breach Hundreds of Stores as Brotli Exploit Traffic Emerges The Hacker News