CISA KEV пополнился CVE-2026-48356 для Magento и CVE-2026-111497 для Brotli 27 октября 2026 года

27 октября 2026 года CISA добавила CVE-2026-48356 и CVE-2026-111497 в каталог Known Exploited Vulnerabilities. Обе уязвимости уже использовались в реальных атаках, что подтверждено данными агентства.

CVE-2026-48356 затрагивает Adobe Commerce и Magento Open Source версий 2.4.4–2.4.9. Уязвимость позволяет загрузку произвольных файлов и выполнение кода. С ней связана кампания, начавшаяся в июле 2025 года и затронувшая около 953 магазинов, из которых примерно 471 были скомпрометированы в марте 2026 года.

Технические детали уязвимостей и исправления

CVE-2026-48356 имеет оценку CVSS 9.3. Проблема устранена в обновлении APSB26-73. Злоумышленники размещали JavaScript-лоадеры в блоках CMS, обходя сканеры. Федеральные агентства США обязаны устранить уязвимость до 10 ноября 2026 года согласно BOD 26-04 с приоритетом для систем, доступных из интернета.

CVE-2026-111497 — переполнение буфера в декодере Brotli версий 1.0.3–1.2.0. Уязвимость оценивается в CVSS 9.2 и позволяет удалённым злоумышленникам повредить память. Она затрагивает Node.js, Python, .NET и другие среды. Исправления выпущены в Brotli 1.0.10, 1.1.1 и 1.2.1, а также в обновлениях соответствующих рантаймов. Показатель EPSS для этой уязвимости достигает 55 %.

Обе уязвимости соответствуют критериям CISA по подтверждённой эксплуатации в реальных атаках. Каталог KEV ведётся с 2021 года и содержит уязвимости, требующие первоочередного устранения в федеральных системах.

Последствия для организаций и дальнейшие шаги

Компании, использующие Magento или Adobe Commerce, должны установить патчи немедленно и провести проверку на наличие веб-шеллов. Системы на базе Brotli требуют обновления библиотек и зависимых приложений. CISA рекомендует выполнять форензический анализ до или одновременно с исправлением в случаях, когда уязвимость могла привести к полному контролю над системой.

В России Magento остаётся популярной платформой электронной коммерции, а Brotli применяется в веб-серверах и приложениях на базе Node.js и Python. Организациям рекомендуется проверить версии ПО и применить обновления до истечения сроков, установленных CISA для федеральных агентств США, чтобы снизить риск компрометации.

Дальнейшие обновления каталога KEV ожидаются по мере выявления новых подтверждённых атак. CISA продолжит публиковать оповещения о включённых уязвимостях.