Adobe Commerce PolyShell 攻擊致數百家商店被入侵，Brotli 漏洞流量暴露
Adobe Commerce PolyShell Attacks Breach Hundreds of Stores as Brotli Exploit Traffic Emerges
兩個高危漏洞已被實際利用，Adobe Commerce、Magento 及 Google Brotli 相關產品面臨遠端執行與服務中斷風險。
- - 漏洞概述：CVE‑2026‑48356（PolyShell）允許未授權上傳危險檔案，導致任意程式碼執行。
- CVE‑2026‑111497（Brotli）可遠端破壞解碼器記憶體，造成資料外洩或執行任意程式碼。
此通報揭示兩個高危漏洞已被實際利用，提醒企業須即時升級 Adobe Commerce、Magento 及相關依賴庫以防止遠端執行與服務中斷。
譯文尚未完整，完整內容請切換至原文。
Ravie LakshmananOct 28, 2026漏洞 / 網路安全
美國網路安全與基礎建設安全域性（CISA）於週二新增兩項影響 Adobe Commerce 與 Magento 以及 Google Brotli 解碼器庫的漏洞至其已知被利用漏洞（KEV）目錄，並提及有實際被利用的證據。
漏洞列於下方 -
- CVE-2026-111497 (CVSS 分數: 9.2) - Google Brotli 中一個未檢查返回值的漏洞，可能允許遠端未經身份驗證的攻擊者破壞相鄰解碼器狀態記憶體、洩露敏感記憶體內容、造成拒絕服務，或可能利用精心製作的 Brotli 壓縮串流執行任意程式碼。
- CVE-2026-48356 (CVSS 分數: 9.3) - Adobe Commerce 與 Magento 中一個對危險檔案型別的上傳未加限制的漏洞，可能導致在目前使用者的上下文中執行任意程式碼，並可能取得提升許可權或控制受害者的帳戶或會話。
此發展發生在 Sansec 表示其觀察到攻擊者利用 CVE-2026-48356（亦稱 PolyShell）突破數百家電子商務商店，並透過 Magento CMS 區塊注入惡意載入程式的幾天後。
該載入程式旨在取得並執行攻擊者控制的有效載荷，儘管至今尚未回收到任何後續惡意程式，難以確定此活動的具體目標。該活動被評估至少自 2025 年 7 月起持續進行。
至於 CVE-2026-111497（又稱 Broccoli2Shell、HTTP2Shell 與 Node2Shell），威脅情報公司 Previdian 顯示截至 2026 年 10 月 27 日，已從美國 IP 地址對其蜜罐感測器記錄到一次利用嘗試。目前尚不清楚這些嘗試是否範圍廣泛。
「能提供應用程式使用 node:zlib 解壓縮的 Brotli 資料的攻擊者，可能會破壞程序記憶體，」Rapid7 表示。「根據 Node.js，這種破壞可能導致程序崩潰、洩露敏感程序記憶體，或遠端執行程式碼。因此，是否暴露取決於應用程式是否將攻擊者控制的壓縮資料傳遞給受影響的解碼器。」
ELLIO 亦於週一 報告其感測器「已在現場記錄到 CVE-2026-111497 的利用流量，攜帶我們確認可在易受攻擊構建上取得 shell 的公開利用程式。」該活動源於「94.154.43[.]7」，一個定位於荷蘭的 IP 位址，也曾參與針對 PHP2Shell、PHP 兩項關鍵缺陷 的利用行動，這些缺陷可能導致 未經身份驗證的遠端程式碼執行。
「攻擊者的有效載荷是一個真實且結構正確的 Node2Shell 利用嘗試，針對 node v24.22.0 – Brotli 串流、分段位移、pivot 配對與傳遞皆正確且與公開工具相同，」ELLIO 表示。「這表明該 RCE 正被專注於大規模利用的運營者採用。」
Brotli 是一個廣泛分發的開源函式庫，且被眾多專案採用，這引發了緊急回應，促使各大廠商釋出修補程式或評估其產品是否受此缺陷影響。
This includes PHP, which has shipped versions 8.5.12-1, 8.4.27-1, 8.3.36-1, and 8.2.35-1, as well as Node.js, Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, the PHP Brotli extension, and the Ruby "brotli" gem. Links to some of the advisories are below -
- Amazon Linux
- Bun
- Cisco
- Cloudflare
- CloudLinux
- Envoy Proxy
- F5
- Fortinet
- Imperva
- Istio
- Microsoft Azure
- Microsoft .NET
- Node.js
- Palo Alto Networks
- PHP
- Qualys
- Red Hat
- Safe Security
- Strapi
- Tanium
- Tenable
- Ubuntu
- Upwind
"Node.js 在 22.23.4、24.22.1 與 26.12.1 版本中修復了漏洞，" Akamai 說. "Node.js 的安全通告沒有提供任何變通方案，因此升級才是唯一完整的修復方式。已停止支援的發行版本的組織應該轉移到受支援的發行版本。"
Google 擁有的 Wiz 已 警告，稱 "91% 的雲端環境有易受 CVE-2026-111497 攻擊的資源，82% 的雲端環境則有公開暴露的 Node.js 例項。"
"Node2Shell 並非每個 Node.js 服務的錯誤，而是解碼攻擊者影響的 Brotli 的服務中的錯誤，" Sysdig 說. "Express 5 以預設的 JSON 解析方式將大量此類例項放入該組別。迄今為止顯示的影響是大規模崩潰和在狹窄配置中執行程式碼，因此修補順序應依照可達性。"
聯邦民用行政部門（FCEB）機構有至 2026 年 11 月 10 日的時間，才能對這兩項缺陷進行必要的修復。
覺得這篇文章有趣嗎？請在 Google News、Twitter 與 LinkedIn 上追蹤我們，以閱讀更多我們發布的獨家內容。