CISA nimmt Adobe-Commerce- und Brotli-Lücken in KEV-Katalog auf, Angriffe laufen weiter

Drei Lücken als ausgenutzt gelistet

Die Cybersecurity and Infrastructure Security Agency, kurz CISA, hat am Dienstag zwei Schwachstellen in Adobe Commerce und Magento sowie eine in Googles Brotli-Decoder-Bibliothek in ihren Katalog Known Exploited Vulnerabilities aufgenommen. Die Einstufung stützt sich laut Bericht auf Belege für aktive Ausnutzung.

Die Brotli-Lücke trägt die Kennung CVE-2026-111497 und erhält auf der CVSS-Skala einen Wert von 9,2. Es handelt sich um eine Schwachstelle durch einen nicht geprüften Rückgabewert. Laut Beschreibung könnte ein entfernter Angreifer ohne Authentifizierung mit einem präparierten, Brotli-komprimierten Datenstrom angrenzenden Decoder-Speicher manipulieren, sensible Speicherinhalte offenlegen, einen Dienstausfall auslösen oder möglicherweise beliebigen Code ausführen.

Kampagne PolyShell gegen Online-Shops

Die Lücke CVE-2026-48356 in Adobe Commerce und Magento erhält einen CVSS-Wert von 9,3 und beschreibt einen uneingeschränkten Upload einer Datei mit gefährlichem Typ. Sie könnte die Ausführung beliebigen Codes im Kontext des aktuellen Nutzers ermöglichen und erweiterte Zugriffsrechte oder Kontrolle über das Konto oder die Sitzung eines Opfers verschaffen.

Einige Tage vor der Aufnahme in den Katalog berichtete Sansec, dass Angreifer diese als PolyShell bekannte Lücke genutzt haben, um hunderte E-Commerce-Shops zu kompromittieren und über einen CMS-Block in Magento einen schädlichen Loader einzuschleusen. Der Loader ist darauf ausgelegt, eine vom Angreifer kontrollierte Nutzlast abzurufen und auszuführen. Bislang wurde jedoch keine Schadsoftware der nächsten Stufe gefunden, weshalb sich die genauen Ziele der Kampagne schwer bestimmen lassen. Die Aktivität wird auf mindestens Juli 2025 zurückdatiert und gilt als andauernd.

Erste Hinweise auf Brotli-Angriffe

Telemetriedaten des Threat-Intelligence-Unternehmens Previdian verzeichnen bis zum 27. Oktober 2026 einen Ausnutzungsversuch gegen seine Honeypot-Sensoren von einer IP-Adresse mit Sitz in den USA. Die Lücke ist auch unter den Namen Broccoli2Shell, HTTP2Shell und Node2Shell bekannt. Ob die Versuche breit angelegt sind, ist derzeit nicht bekannt.

Rapid7 wies darauf hin, dass das Risiko davon abhängt, ob eine Anwendung vom Angreifer kontrollierte komprimierte Daten an den betroffenen Decoder weitergibt. Laut Node.js kann die Speicherbeschädigung zum Absturz eines Prozesses, zur Offenlegung sensiblen Prozessspeichers oder zur Ausführung von Code aus der Ferne führen. Parallel wurde Aktivität zu einer IP-Adresse mit niederländischer Geolokalisierung zurückverfolgt, die auch PHP2Shell angegriffen hat, zwei kritische PHP-Lücken, die eine nicht authentifizierte Ausführung von Code aus der Ferne ermöglichen können.

Offene Fragen

• Welche Nutzlasten die Kampagne PolyShell letztlich ausliefern wird, ist offen?
• Wie verbreitet die Ausnutzung der Brotli-Lücke über den einen erfassten Versuch hinaus ist?