Adobe Commerce vira alvo de hackers que comprometem centenas de lojas virtuais

A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) adicionou duas vulnerabilidades críticas que afetam o Adobe Commerce, o Magento e a biblioteca de descompressão Brotli, do Google, ao catálogo de Vulnerabilidades Conhecidas Exploradas (KEV). A decisão, anunciada na terça-feira (27), ocorre após a identificação de ataques ativos, incluindo uma campanha que já comprometeu centenas de lojas virtuais.

As falhas, identificadas como CVE-2026-48356 e CVE-2026-111497, receberam pontuações CVSS de 9,3 e 9,2, respectivamente. Ambas podem permitir execução remota de código em determinadas condições, representando riscos para plataformas de comércio eletrônico, aplicações web e ambientes corporativos.

A CVE-2026-48356, conhecida como PolyShell, afeta o Adobe Commerce e o Magento. A vulnerabilidade permite o envio irrestrito de arquivos de tipos perigosos, podendo resultar na execução de código arbitrário com os privilégios do usuário atual e, potencialmente, no controle de contas ou sessões.

Já a CVE-2026-111497, também chamada de Broccoli2Shell, HTTP2Shell ou Node2Shell, está relacionada a uma falha no tratamento de valores de retorno da biblioteca Brotli. Um invasor remoto não autenticado pode utilizar um fluxo de dados comprimidos especialmente preparado para corromper a memória do decodificador, provocar indisponibilidade, expor informações sensíveis ou, em determinadas circunstâncias, executar código arbitrário.

PolyShell já comprometeu centenas de lojas virtuais

A empresa de segurança Sansec identificou ataques explorando a CVE-2026-48356 contra centenas de lojas de comércio eletrônico.

Segundo a investigação, os invasores utilizaram a vulnerabilidade para inserir um carregador malicioso em blocos do sistema de gerenciamento de conteúdo (CMS) do Magento.

Esse componente foi desenvolvido para baixar e executar cargas maliciosas controladas pelos atacantes. Entretanto, os pesquisadores ainda não recuperaram o malware utilizado nas etapas seguintes, o que impede determinar com precisão os objetivos finais da campanha.

As evidências indicam que a atividade maliciosa está em andamento desde pelo menos julho de 2025.

A exploração representa um risco para operações de comércio eletrônico, pois o comprometimento de componentes do CMS pode permitir a introdução de código malicioso em páginas acessadas por clientes. No entanto, a investigação não confirmou roubo de dados financeiros ou informações pessoais nessa campanha.

Ataques contra Brotli utilizam exploit público para execução remota de código

A exploração da CVE-2026-111497 também começou a aparecer em sistemas de monitoramento de ameaças.

A empresa de inteligência Previdian identificou, até 27 de outubro de 2026, uma tentativa de exploração contra seus sensores honeypot, originada de um endereço IP localizado nos Estados Unidos.

Ainda não está claro se essas tentativas fazem parte de uma campanha de grande escala.

A ELLIO também informou ter identificado tráfego de exploração utilizando um exploit público capaz de obter acesso a um shell em versões vulneráveis.

Os ataques observados partiram do endereço IP 94.154.43[.]7, localizado geograficamente nos Países Baixos. O mesmo endereço também foi associado a tentativas de exploração do PHP2Shell, conjunto de duas vulnerabilidades críticas no PHP que podem permitir execução remota de código sem autenticação.

Segundo a ELLIO, a carga maliciosa identificada apresentava uma estrutura válida de exploração do Node2Shell contra o Node.js 24.22.0, incluindo o fluxo Brotli manipulado e as etapas necessárias para alcançar a execução de código.

Os pesquisadores avaliaram que a correspondência com ferramentas públicas de exploração sugere a adoção da vulnerabilidade por operadores interessados em ataques em massa.

Falha no Brotli afeta diferentes tecnologias e ambientes em nuvem

A biblioteca Brotli é utilizada por diversos projetos de código aberto e produtos comerciais para compressão e descompressão de dados.

Sua ampla adoção levou fornecedores de tecnologia a publicar atualizações emergenciais ou investigar a exposição de seus produtos à CVE-2026-111497.

Entre as tecnologias que receberam correções ou passaram por avaliações estão PHP, Node.js, Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, a extensão Brotli para PHP e a biblioteca Ruby denominada brotli.

No caso do PHP, foram disponibilizadas as versões 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1.

Para o Node.js, a vulnerabilidade foi corrigida nas versões 22.23.4, 24.22.1 e 26.12.1.

Segundo a Akamai, o comunicado de segurança do Node.js não apresenta uma solução alternativa capaz de eliminar completamente o risco. Dessa forma, a atualização para uma versão corrigida é a única medida de remediação completa indicada.

Organizações que utilizam versões do Node.js sem suporte devem migrar para versões mantidas oficialmente.

Pesquisa aponta exposição em 91% dos ambientes de nuvem

A Wiz, empresa pertencente ao Google, informou que 91% dos ambientes de nuvem analisados possuem recursos vulneráveis à CVE-2026-111497.

A empresa também identificou instâncias de Node.js publicamente expostas em 82% dos ambientes avaliados.

Esses percentuais não significam que todos os recursos possam ser explorados diretamente. A possibilidade de ataque depende da forma como as aplicações processam dados comprimidos controlados por terceiros.

A Rapid7 explicou que aplicações que utilizam o módulo node:zlib para descomprimir dados Brotli fornecidos por invasores podem sofrer corrupção de memória, com consequências que incluem encerramento inesperado de processos, exposição de informações sensíveis e execução remota de código.

A Sysdig também destacou que a vulnerabilidade não afeta automaticamente todos os serviços Node.js.

O risco está concentrado em aplicações que processam dados Brotli influenciados por atacantes. Entre as configurações potencialmente expostas estão aplicações Express 5 que utilizam o processamento padrão de JSON.

Até o momento, os impactos demonstrados incluem falhas de processos em diferentes configurações e execução de código em condições mais específicas.

Por isso, a Sysdig recomenda que a priorização das correções considere a possibilidade real de um invasor alcançar o componente vulnerável.

CISA estabelece prazo para correção das vulnerabilidades

Com a inclusão das duas falhas no catálogo KEV, as agências civis do Poder Executivo federal dos Estados Unidos deverão aplicar as correções necessárias até 10 de novembro de 2026.

A determinação abrange a CVE-2026-48356, que já foi utilizada para comprometer centenas de lojas virtuais, e a CVE-2026-111497, cuja exploração foi identificada em tráfego malicioso direcionado a implementações vulneráveis do Brotli.

Para organizações que utilizam Adobe Commerce, Magento ou aplicações dependentes do Brotli, a recomendação é identificar os sistemas afetados, verificar a exposição dos componentes vulneráveis e aplicar as atualizações disponibilizadas pelos respectivos fornecedores.