Во вторник Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло две уязвимости в каталог известных эксплуатируемых уязвимостей KEV. Одна затрагивает Adobe Commerce и Magento, другая — библиотеку декодирования Brotli от Google. CISA сослалось на свидетельства атак, но масштаб кампании с использованием Brotli пока неясен.
Уязвимость Brotli CVE-2026-111497 получила оценку 9,2 по шкале CVSS. Ошибка связана с непроверенным возвращаемым значением: удалённый злоумышленник без учётной записи может передать специально сформированный сжатый поток. В зависимости от приложения это способно повредить соседние области памяти декодера, раскрыть данные процесса, вызвать отказ в обслуживании или, потенциально, привести к выполнению кода. В публикациях уязвимость также называют Broccoli2Shell, HTTP2Shell и Node2Shell.
CVE-2026-48356 в Adobe Commerce и Magento оценена в 9,3 балла. Это возможность загрузить файл опасного типа; при успешной атаке злоумышленник может выполнить код с правами текущего пользователя и получить расширенный доступ к его учётной записи или сеансу. Уязвимость известна под названием PolyShell.
За несколько дней до решения CISA компания Sansec сообщила, что PolyShell используют для взлома сотен интернет-магазинов. Злоумышленники внедряли вредоносный загрузчик через блок CMS Magento. Он должен был получить и запустить подконтрольную атакующим полезную нагрузку. Следующее звено вредоносной цепочки обнаружить не удалось, поэтому точные цели кампании остаются неизвестными. По оценке Sansec, атаки продолжались как минимум с июля 2025 года.
Сведения об эксплуатации Brotli пока скуднее. Компания по анализу угроз Previdian сообщила об одной попытке против своих honeypot-сенсоров по состоянию на 27 октября 2026 года; она пришла с IP-адреса, зарегистрированного в США. Неизвестно, были ли эти попытки частью массовой кампании. В понедельник ELLIO также зафиксировала эксплойт-трафик CVE-2026-111497 и заявила, что публичный эксплойт действительно позволяет получить оболочку на уязвимых сборках.
ELLIO связала активность с адресом 94.154.43[.]7, геолокация которого указывала на Нидерланды. С этого же IP пытались эксплуатировать PHP2Shell — две критические уязвимости PHP, способные привести к удалённому выполнению кода без аутентификации. По данным ELLIO, полезная нагрузка была корректно сформированной попыткой Node2Shell против Node v24.22.0: поток Brotli, смещение, пара pivot и способ доставки соответствовали общедоступному инструментарию. Компания расценила это как признак того, что оператор, ориентированный на массовые атаки, начал применять эксплойт.
По оценке Rapid7, риск возникает, когда приложение принимает контролируемые атакующим данные Brotli и распаковывает их через
Из-за широкого применения Brotli как открытой библиотеки поставщики начали выпускать исправления и проверять свои продукты. PHP опубликовал версии 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1. В числе других затронутых или проверяемых проектов названы Node.js, Bun, Envoy Proxy, Istio,.NET, Python, ClickHouse, расширение PHP Brotli и Ruby-гем
Akamai сообщила, что исправление для Node.js вошло в версии 22.23.4, 24.22.1 и 26.12.1. В рекомендациях Node.js не указано обходного решения, поэтому для полного устранения проблемы требуется обновление. Организациям, использующим снятые с поддержки ветки, следует перейти на поддерживаемую версию. Предупреждения и сведения об исправлениях также опубликовали Amazon Linux, Broadcom, Bun, Cisco, Cloudflare, CloudLinux, Envoy Proxy, F5, Fortinet, Imperva, Istio, Microsoft Azure, , Node.js, Palo Alto Networks, PHP, Qualys, Red Hat, Safe Security, Strapi, Tanium, Tenable, Ubuntu и Upwind. Федеральным гражданским ведомствам исполнительной власти США (FCEB) предписано устранить обе уязвимости до 10 ноября 2026 года.
Изображение носит иллюстративный характер
Уязвимость Brotli CVE-2026-111497 получила оценку 9,2 по шкале CVSS. Ошибка связана с непроверенным возвращаемым значением: удалённый злоумышленник без учётной записи может передать специально сформированный сжатый поток. В зависимости от приложения это способно повредить соседние области памяти декодера, раскрыть данные процесса, вызвать отказ в обслуживании или, потенциально, привести к выполнению кода. В публикациях уязвимость также называют Broccoli2Shell, HTTP2Shell и Node2Shell.
CVE-2026-48356 в Adobe Commerce и Magento оценена в 9,3 балла. Это возможность загрузить файл опасного типа; при успешной атаке злоумышленник может выполнить код с правами текущего пользователя и получить расширенный доступ к его учётной записи или сеансу. Уязвимость известна под названием PolyShell.
За несколько дней до решения CISA компания Sansec сообщила, что PolyShell используют для взлома сотен интернет-магазинов. Злоумышленники внедряли вредоносный загрузчик через блок CMS Magento. Он должен был получить и запустить подконтрольную атакующим полезную нагрузку. Следующее звено вредоносной цепочки обнаружить не удалось, поэтому точные цели кампании остаются неизвестными. По оценке Sansec, атаки продолжались как минимум с июля 2025 года.
Сведения об эксплуатации Brotli пока скуднее. Компания по анализу угроз Previdian сообщила об одной попытке против своих honeypot-сенсоров по состоянию на 27 октября 2026 года; она пришла с IP-адреса, зарегистрированного в США. Неизвестно, были ли эти попытки частью массовой кампании. В понедельник ELLIO также зафиксировала эксплойт-трафик CVE-2026-111497 и заявила, что публичный эксплойт действительно позволяет получить оболочку на уязвимых сборках.
ELLIO связала активность с адресом 94.154.43[.]7, геолокация которого указывала на Нидерланды. С этого же IP пытались эксплуатировать PHP2Shell — две критические уязвимости PHP, способные привести к удалённому выполнению кода без аутентификации. По данным ELLIO, полезная нагрузка была корректно сформированной попыткой Node2Shell против Node v24.22.0: поток Brotli, смещение, пара pivot и способ доставки соответствовали общедоступному инструментарию. Компания расценила это как признак того, что оператор, ориентированный на массовые атаки, начал применять эксплойт.
По оценке Rapid7, риск возникает, когда приложение принимает контролируемые атакующим данные Brotli и распаковывает их через
node:zlib. Это может повредить память процесса; документация Node.js предупреждает о возможном аварийном завершении, утечке чувствительных данных или удалённом выполнении кода. Sysdig уточнила: проблема касается не каждого сервиса на Node.js, а тех, где декодируется Brotli-содержимое, на которое может влиять внешний пользователь. В эту категорию, по оценке компании, попадает множество экземпляров Express 5 с настройками разбора JSON по умолчанию. Компания Wiz, принадлежащая Google, сообщила, что ресурсы с уязвимостью CVE-2026-111497 есть в 91% облачных сред, а публично доступные экземпляры Node.js — в 82%. Из-за широкого применения Brotli как открытой библиотеки поставщики начали выпускать исправления и проверять свои продукты. PHP опубликовал версии 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1. В числе других затронутых или проверяемых проектов названы Node.js, Bun, Envoy Proxy, Istio,.NET, Python, ClickHouse, расширение PHP Brotli и Ruby-гем
brotli. Akamai сообщила, что исправление для Node.js вошло в версии 22.23.4, 24.22.1 и 26.12.1. В рекомендациях Node.js не указано обходного решения, поэтому для полного устранения проблемы требуется обновление. Организациям, использующим снятые с поддержки ветки, следует перейти на поддерживаемую версию. Предупреждения и сведения об исправлениях также опубликовали Amazon Linux, Broadcom, Bun, Cisco, Cloudflare, CloudLinux, Envoy Proxy, F5, Fortinet, Imperva, Istio, Microsoft Azure, , Node.js, Palo Alto Networks, PHP, Qualys, Red Hat, Safe Security, Strapi, Tanium, Tenable, Ubuntu и Upwind. Федеральным гражданским ведомствам исполнительной власти США (FCEB) предписано устранить обе уязвимости до 10 ноября 2026 года.
