Агентство по кибербезопасности и защите инфраструктуры США (CISA) во вторник добавило две уязвимости, затрагивающие Adobe Commerce и Magento, а также библиотеку декодирования Brotli от Google, в свой каталог известных уязвимостей, подвергшихся эксплуатации (KEV), ссылаясь на доказательства активной эксплуатации. Уязвимости перечислены ниже. Это произошло через несколько дней после того, как Sansec сообщила, что наблюдала, как злоумышленники использовали CVE-2026-48356, также известную как PolyShell, для взлома сотен интернет-магазинов с целью внедрения вредоносного загрузчика через блок CMS Magento. Загрузчик предназначен для получения и выполнения управляемого злоумышленником полезного груза, хотя на данный момент вредоносное ПО следующего этапа не обнаружено, что затрудняет определение точных целей кампании. Активность оценивается как продолжающаяся как минимум с июля 2025 года. Что касается CVE-2026-111497 (также известной как Broccoli2Shell, HTTP2Shell и Node2Shell), данные телеметрии от фирмы по анализу угроз Previdian показывают, что по состоянию на 27 октября 2026 года была зафиксирована одна попытка эксплуатации против ее датчиков-ловушек с IP-адреса, расположенного в США. В настоящее время неизвестно, насколько широкомасштабны эти усилия. «Злоумышленник, который может предоставить данные Brotli, которые приложение распаковывает с помощью node:zlib, может повредить память процесса», — заявили в Rapid7. «Согласно Node.js, это повреждение может привести к сбою процесса, раскрытию конфиденциальной памяти процесса или удаленному выполнению кода. Следовательно, степень риска зависит от того, передает ли приложение сжатые данные, контролируемые злоумышленником, затронутому декодеру». ELLIO также сообщил в понедельник, что его датчики «зафиксировали трафик эксплуатации CVE-2026-111497 в реальных условиях, несущий общедоступный эксплойт, который, как мы подтвердили, получает доступ к уязвимым сборкам». Активность исходит от «94.154.43[.]7», IP-адреса, геолокация которого указывает на Нидерланды, который также участвовал в попытках эксплуатации, нацеленных на PHP2Shell, две критические уязвимости в PHP, которые могут привести к неаутентифицированному удаленному выполнению кода. «Полезная нагрузка злоумышленника представляет собой подлинную, правильно структурированную попытку эксплуатации Node2Shell для узла v24.22.0 — поток Brotli, смещенное смещение, пара поворота и доставка — все правильно и идентично общедоступным инструментам», — заявила ELLIO. «Это свидетельствует о том, что RCE принят оператором, ориентированным на массовую эксплуатацию». Тот факт, что Brotli является широко распространенной библиотекой с открытым исходным кодом и используется многочисленными проектами, вызвал экстренную реакцию, побудив различных поставщиков выпустить исправления или оценить, затронуты ли их продукты этой уязвимостью. Это включает PHP, который выпустил версии 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1, а также Node.js, Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, расширение PHP Brotli и гем Ruby “brotli”. Ссылки на некоторые из рекомендаций приведены ниже. «Node.js исправил уязвимость в версиях 22.23.4, 24.22.1 и 26.12.1», — заявила Akamai. «Рекомендации Node.js не предлагают обходного пути, поэтому обновление является единственным полным решением. Организации, использующие прекращенную линейку релизов, должны перейти на поддерживаемую линейку релизов». Wiz, принадлежащая Google, предупредила, что «91% облачных сред имеют ресурсы, уязвимые для CVE-2026-111497, а 82% облачных сред имеют общедоступные экземпляры Node.js». «Node2Shell — это не ошибка в каждом сервисе Node.js, а ошибка в сервисах, которые декодируют Brotli, контролируемый злоумышленником», — заявила Sysdig. «Express 5 с парсингом JSON по умолчанию ставит большое количество экземпляров в эту группу. Продемонстрированное воздействие на данный момент — это сбои в большом масштабе и выполнение кода в узкой конфигурации, поэтому порядок установки исправлений должен соответствовать доступности». Агентства Федеральной гражданской исполнительной ветви власти (FCEB) имеют время до 10 ноября 2026 года для применения необходимых исправлений против двух уязвимостей.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
