A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) acrescentou nesta terça-feira duas vulnerabilidades que afetam o Adobe Commerce e o Magento, além da biblioteca decodificadora Brotli do Google, ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), citando evidências de exploração ativa.
As vulnerabilidades estão listadas abaixo, identificadas pelo código CVE (Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns):
- CVE-2026-111497 (pontuação CVSS, sistema de medição de gravidade de vulnerabilidades: 9,2) - Uma falha de verificação de valor de retorno no Google Brotli que pode permitir a um invasor remoto, sem autenticação, corromper a memória de estado do decodificador adjacente, expor conteúdos sensíveis da memória, causar negação de serviço (DoS) ou, potencialmente, executar código arbitrário por meio de um fluxo comprimido com Brotli especialmente elaborado.
- CVE-2026-48356 (pontuação CVSS: 9,3) - Uma falha de upload irrestrito de arquivo com tipo perigoso no Adobe Commerce e no Magento que pode resultar em execução arbitrária de código no contexto do usuário atual, possibilitando a obtenção de acesso elevado ou o controle da conta ou da sessão da vítima.
O caso surge poucos dias depois de a Sansec afirmar ter observado atacantes explorando a CVE-2026-48356, também conhecida como PolyShell, para invadir centenas de lojas virtuais e injetar um carregador malicioso por meio de um bloco do sistema de gerenciamento de conteúdo (CMS) do Magento.
O carregador foi projetado para baixar e executar uma carga útil controlada pelo atacante, embora nenhum malware de próxima etapa tenha sido recuperado até o momento, o que dificulta determinar quais são exatamente os objetivos da campanha. A atividade é avaliada como contínua desde pelo menos julho de 2025.
Node2Shell e o tráfego de exploração
Quanto à CVE-2026-111497, também chamada de Broccoli2Shell, HTTP2Shell e Node2Shell, dados de telemetria da empresa de inteligência de ameaças Previdian mostram que uma tentativa de exploração foi registrada contra seus sensores de armadilha (honeypot) a partir de um endereço IP sediado nos EUA, até 27 de outubro de 2026. Ainda não se sabe se esses esforços têm alcance amplo.
“Um invasor que possa fornecer dados Brotli que uma aplicação descomprime com o node:zlib pode corromper a memória do processo”, afirmou a Rapid7. “De acordo com o Node.js, essa corrupção pode levar a uma falha no processo, à exposição de memória sensível do processo ou à execução remota de código. A exposição, portanto, depende de a aplicação repassar dados comprimidos controlados pelo atacante ao decodificador afetado.”
A ELLIO também informou na segunda-feira que seus sensores “registraram tráfego de exploração da CVE-2026-111497 na natureza, transportando o exploit público que confirmamos que obtém um shell em builds vulneráveis”. A atividade se origina do endereço “94.154.43[.]7”, um IP geolocalizado nos Países Baixos que também participou de tentativas de exploração do PHP2Shell, duas falhas críticas no PHP (Hypertext Preprocessor) que podem resultar em execução remota de código sem autenticação.
“A carga útil do atacante é uma tentativa genuína e corretamente estruturada de exploração do Node2Shell para o node v24.22.0. O fluxo Brotli, o deslocamento preparatório, o par de pivô e a entrega estão todos corretos e idênticos às ferramentas públicas”, disse a ELLIO. “Isso indica que a execução remota de código está sendo adotada por um operador focado em exploração em massa.”
O fato de o Brotli ser uma biblioteca de código aberto amplamente distribuída e adotada por inúmeros projetos provocou uma resposta de emergência, levando diversos fornecedores a lançar correções ou avaliar se seus produtos são afetados pela falha.
Entre eles está o PHP, que lançou as versões 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1, além do Node.js, Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, a extensão Brotli do PHP e a gem “brotli” do Ruby. Abaixo estão os links para alguns dos avisos de segurança:
- Amazon Linux
- Broadcom
- Bun
- Cisco
- Cloudflare
- CloudLinux
- Envoy Proxy
- F5
- Fortinet
- Imperva
- Istio
- Microsoft Azure
- Microsoft .NET
- Node.js
- Palo Alto Networks
- PHP
- Qualys
- Red Hat
- Safe Security
- Strapi
- Tanium
- Tenable
- Ubuntu
- Upwind
“O Node.js corrigiu a vulnerabilidade nas versões 22.23.4, 24.22.1 e 26.12.1”, afirmou a Akamai. “O aviso do Node.js não oferece uma solução alternativa, portanto, atualizar é a única correção completa. Organizações que utilizam uma linha de versões descontinuada devem migrar para uma linha suportada.”
A Wiz, pertencente ao Google, alertou que “91% dos ambientes de nuvem têm recursos vulneráveis à CVE-2026-111497, e 82% dos ambientes de nuvem têm instâncias do Node.js expostas publicamente”.
“O Node2Shell não é um bug em todo serviço Node.js, mas sim um bug em serviços que decodificam dados Brotli influenciados por atacantes”, afirmou a Sysdig. “O Express 5 com análise padrão de JSON (notação de objetos JavaScript) coloca um grande número de instâncias nesse grupo. O impacto demonstrado até agora são falhas em grande escala e execução de código em uma configuração restrita, por isso a ordem de aplicação das correções deve seguir a alcançabilidade.”
As agências do Poder Executivo Federal dos EUA (FCEB, na sigla em inglês) têm até 10 de novembro de 2026 para aplicar as correções necessárias contra as duas falhas.
