Adobe Commerce e Magento passam por vulnerabilidades críticas exploradas por hackers

A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) incluiu duas vulnerabilidades críticas no catálogo de Vulnerabilidades Conhecidas Exploradas (KEV). As falhas, identificadas como CVE-2026-48356 e CVE-2026-111497, afetam o Adobe Commerce, o Magento e a biblioteca de descompressão Brotli do Google. A decisão foi anunciada na terça-feira (27) após detectar ataques ativos, incluindo uma campanha que já comprometeu centenas de lojas virtuais.

As vulnerabilidades recebem pontuações CVSS de 9,3 e 9,2, respectivamente. Ambas permitem execução remota de código sob condições específicas, colocando em risco plataformas de comércio eletrônico, aplicações web e ambientes corporativos. A CVE-2026-48356, conhecida como PolyShell, afeta o Adobe Commerce e o Magento, permitindo o envio irrestrito de arquivos perigosos que podem resultar na execução de código arbitrário e controle de contas.

Já a CVE-2026-111497, também chamada de Broccoli2Shell, HTTP2Shell ou Node2Shell, está relacionada a uma falha no tratamento de valores de retorno da biblioteca Brotli. Um invasor remoto não autenticado pode corromper a memória do decodificador usando um fluxo de dados comprimidos especial, causando indisponibilidade, exposição de informações sensíveis ou execução de código arbitrário. A empresa Sansec identificou ataques explorando a CVE-2026-48356 em centenas de lojas, onde os hackers inseriram um carregador malicioso no CMS do Magento, mas ainda não foram recuperados os detalhes do malware utilizado posteriormente.