Агентство CISA внесло в каталог Known Exploited Vulnerabilities (перечень известных эксплуатируемых уязвимостей) две уязвимости. Первая позволяет загрузить на сервер Adobe Commerce или Magento файл опасного типа и выполнить его код. Вторая - переполнение буфера в библиотеке сжатия Brotli, из-за которого процесс может упасть либо выполнить чужой код. Попадание в KEV означает подтверждённую активную эксплуатацию, то есть обе уязвимости уже применяют в реальных атаках.
Переполнение буфера в Brotli и загрузка файлов в Adobe Commerce
Ни CISA, ни записи CVE не приводят дат первых попыток эксплуатации и не сообщают, насколько быстро атаки начались после раскрытия. Детали уязвимости Brotli раскрыли публично 27 февраля 2026 года, а запись CVE опубликовали 22 октября. Уязвимость Adobe Commerce раскрыли 14 июля, запись появилась в тот же день. Публичное раскрытие делает технические детали доступными, но не доказывает применение. Для обеих уязвимостей применение подтверждено отдельно, через каталог KEV.
Загрузка файлов опасного типа в Adobe Commerce
Уязвимость CVE-2026-48356 - неограниченная загрузка файла опасного типа, категория CWE-434 в общем перечне слабостей программного обеспечения. Сервер принимает файл, который затем исполняется как код. Итог - выполнение произвольного кода от имени текущего пользователя, вплоть до контроля над учётной записью и сессией жертвы. Атака идёт по сети, сложность низкая, учётные данные не нужны. Участие пользователя требуется: жертва открывает специально собранный адрес либо взаимодействует со взломанной страницей.
Оценка CVSS 3.1 в записи - 9,3 из 10, уровень Critical по классификации вендора. Затронуты Adobe Commerce 2.4.9 и сборки веток 2.4.8, 2.4.7, 2.4.6, 2.4.5 и 2.4.4. В перечень попадают также Magento Open Source до 2.4.9 включительно, Adobe Commerce B2B до 1.5.3 включительно и Adobe Commerce Events до 1.20.0 включительно.
Не затронутыми запись помечает сборки с пометкой 2026-jul, например 2.4.9-2026-jul и 2.4.8-2026-jul. Отдельного номера исправленной версии запись не называет. Точный номер для своей ветки нужно искать в уведомлении Adobe. Обходных мер запись не приводит.
Переполнение буфера в декодере Brotli
Уязвимость CVE-2026-111497 - переполнение буфера в декодере библиотеки Brotli, то есть запись данных за границы выделенного участка памяти (CWE-787). Повреждается состояние декодера, возможны раскрытие содержимого памяти, отказ в обслуживании и при определённых условиях выполнение произвольного кода. Атака идёт по сети, учётные данные не нужны, участие пользователя в описании не упомянуто. Собственной оценки CVSS запись не содержит.
В каталоге KEV эта уязвимость названа как непроверенный результат функции (CWE-252), тогда как описание CVE говорит о записи за границы буфера. По описанию затронуты версии Brotli с 1.0.3 по 1.2.0 на всех платформах. Обновлять библиотеки и готовые сборки нужно до 1.0.10, 1.1.1 или 1.2.1: эти выпуски закрывают каждую из веток. Пакет в записи помечен как не затронутый по умолчанию, поэтому под уязвимость попадают только перечисленные версии. Обходных мер запись не называет.
Adobe Commerce, Magento Open Source, Adobe Commerce B2B и Adobe Commerce Events нужно обновить до сборок с пометкой 2026-jul, которые запись относит к не затронутым. Библиотеку Brotli и продукты, которые её содержат, обновляют до 1.0.10, 1.1.1 или 1.2.1. Обходных мер ни записи CVE, ни сообщение CISA не приводят, поэтому единственный названный способ закрыть уязвимости - обновление. Следить за изменениями можно по записям CVE и по каталогу KEV.
Значимость обеих уязвимостей определяется статусом эксплуатации, а не оценкой. CISA внесла их в KEV на основании свидетельств реальных атак. Технические детали уже доступны, применение зафиксировано. Без обновления продукт остаётся в списке эксплуатируемых уязвимостей.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-111497
- https://www.cve.org/CVERecord?id=CVE-2026-48356
- https://helpx.adobe.com/security/products/magento/apsb26-73.html
- https://nodejs.org/en/blog/vulnerability/october-2026-security-releases#nodejs-brotli-decoder-out-of-bounds-write-permits-remote-code-execution-cve-2026-111497---high
- https://github.com/andybalholm/brotli/releases/tag/v1.2.7
- https://www.cisa.gov/news-events/alerts/2026/10/27/cisa-adds-two-known-exploited-vulnerabilities-catalog
