美国网络安全和基础设施安全局（CISA）周二将两个漏洞列入已知被利用漏洞（KEV）目录，理由是已有证据显示它们正被活跃利用。一个是影响Adobe Commerce与Magento的CVE-2026-48356，CVSS评分9.3；另一个是谷歌Brotli解码库中的CVE-2026-111497，CVSS评分9.2。
先看Adobe Commerce这一侧。该漏洞属于“危险类型文件不受限上传”，可在当前用户上下文中导致任意代码执行，进而可能取得对受害者账户或会话的更高权限与控制。安全公司Sansec表示，观察到攻击者利用该漏洞——也就是PolyShell——攻破了数百家电商店铺，手法是通过Magento CMS区块注入一个恶意加载器。
这个加载器的作用是拉取并执行攻击者控制的载荷。不过截至目前，尚未回收到下一阶段恶意软件，因此很难判断这轮攻击的确切目标是什么。相关活动被评估为至少自2025年7月起持续进行。
Brotli这一侧的情况同样值得开发者留意。该漏洞是谷歌Brotli中的未检查返回值问题，远程未认证攻击者可用精心构造的Brotli压缩流破坏相邻解码器状态内存、泄露敏感内存内容、造成拒绝服务，甚至可能执行任意代码。
威胁情报公司Previdian的遥测数据显示，截至2026年10月27日，其蜜罐传感器记录到一次来自美国IP地址的利用尝试。目前尚不清楚这些尝试的范围是否广泛。
Rapid7给出了暴露条件的判断：“能够提供Brotli数据、并由应用通过node:zlib解压的攻击者，可以破坏进程内存。按照Node.js的说法，这种破坏可能导致进程崩溃、泄露敏感进程内存或远程代码执行。因此暴露与否，取决于应用是否把攻击者控制的压缩数据交给受影响的解码器。”
ELLIO周一报告称，其传感器“已记录到CVE-2026-111497的在野利用流量，携带的是公开利用代码，我们已确认它能在存在漏洞的构建上拿到shell”。该活动源自IP地址94.154.43[.]7，地理位置指向荷兰，该地址此前也参与过针对PHP2Shell的利用——PHP中的两个严重缺陷，可导致未认证远程代码执行。
ELLIO对载荷的描述是：“攻击者的载荷是一次真实、结构正确的Node2Shell利用尝试，针对node v24.22.0——Brotli流、分阶段位移、枢轴对和投递全部正确，且与公开工具一致。”该机构认为，这表明该远程代码执行漏洞已被一名专注于大规模利用的操作者采用。
Brotli作为广泛分发的开源库、被大量项目采用，这一事实引发了紧急响应，多家厂商发布补丁或评估自身产品是否受影响。已发布修复的包括：
- PHP：8.5.12-1、8.4.27-1、8.3.36-1、8.2.35-1
- Node.js：22.23.4、24.22.1、26.12.1
- 其他相关项目：Bun、Envoy Proxy、Istio、.NET、Python、ClickHouse、PHP Brotli扩展、Ruby的brotli gem
Akamai的说明是：“Node.js在22.23.4、24.22.1和26.12.1版本中修复了该漏洞。Node.js的公告没有提供变通方案，因此升级是唯一完整的修复方式。运行已停止维护发布线的组织应迁移到受支持的发布线。”
谷歌旗下的Wiz给出了一组规模数据：“91%的云环境拥有易受CVE-2026-111497影响的资源，82%的云环境存在公开暴露的Node.js实例。”
Sysdig则划定了边界：“Node2Shell不是每个Node.js服务里的bug，而是那些解码受攻击者影响的Brotli的服务里的bug。使用默认JSON解析的Express 5，会把大量实例归入这一组。目前演示出的影响是大规模崩溃，以及在狭窄配置下的代码执行，所以补丁顺序应遵循可达性。”
按照要求，联邦民用行政分支（FCEB）机构需在2026年11月10日前完成针对这两个漏洞的必要修复。
热门跟贴