LONDON (IT BOLTWISE) – Die US-Behörde CISA hat zwei Lücken in Adobe Commerce und einer Google-Brotli-Komponente in das KEV-Katalogwerk aufgenommen. Für CVE-2026-48356 (PolyShell) sehen Sicherheitsanbieter gezielte Angriffe, die über Magento-CMS-Blöcke in vielen Stores eindringen. Parallel dazu gilt CVE-2026-111497 als aktiv ausgenutzt, wobei Brotli-Daten Decoder-Zustand und Prozessspeicher beschädigen können. Unternehmen müssen ihre Deployments bis zu einer Frist von November 2026 systematisch aktualisieren und prüfen, ob sie Angreiferdaten überhaupt im betroffenen Pfad dekomprimieren.
Mit der Aufnahme von zwei Schwachstellen in den „Known Exploited Vulnerabilities“ (KEV)-Katalog schärft die US-Behörde CISA die Prioritäten für Teams, die E-Commerce-Stacks auf produktiven Systemen verantworten. Im Fokus stehen zum einen CVE-2026-48356 in Adobe Commerce und Magento (CVSS 9.3), zum anderen CVE-2026-111497 in der Brotli-Decoder-Bibliothek (CVSS 9.2). Beide Lücken sind laut CISA mit Evidenz für aktive Ausnutzung verknüpft – und genau das macht den Unterschied zwischen „Theorie im Labor“ und „Konkretes Risiko im Betrieb“ aus. Für die Praxis heißt das: Patch-Fenster werden kurzfristig zu Sicherheitsprogrammen, weil Angreifer nicht auf Monate warten, sondern auf messbare Reichweite in vorhandenen Systemen.
Bei PolyShell, benannt über CVE-2026-48356, geht es um eine unbeschränkte Datei-Upload-Möglichkeit mit gefährlichem Dateityp. In der Beschreibung der Schwachstelle ist die Folge mehr als ein einzelnes Fehlverhalten: Die hochgeladene Datei kann im Kontext des aktuell eingeloggten Benutzers zu einer beliebigen Codeausführung führen. Dadurch sind in der Kettenwirkung nicht nur klassische „Webshell“-Szenarien denkbar, sondern auch das Eskalieren hin zu höherer Berechtigung sowie das Übernehmen von Konto- oder Session-Kontexten. Aus einer anderen Sicherheitsbeobachtung geht hervor, dass Angreifer die Lücke zudem nutzen, um per Magento-CMS-Block einen bösartigen Loader einzuschleusen, der wiederum einen Angreifer-Payload nachlädt und ausführt. Auffällig ist dabei, dass bislang kein klar identifizierter „Next-Stage“-Malware-Fund vorliegt, was die Attribution der endgültigen Ziele erschwert – gleichzeitig wird die Aktivität als laufend eingeordnet, und zwar bereits seit mindestens Juli 2025.
Der zweite Hebel, CVE-2026-111497, adressiert eine ganz andere Angriffslogik, die aber in der Wirkung zusammen mit PolyShell gefährlich wird: Ein ungeprüfter Rückgabewert in der Brotli-Implementierung kann Decoder-Zustand im Speicher so korrumpieren, dass im schlimmsten Fall sensible Inhalte offengelegt werden, ein Denial of Service entsteht oder sogar Remote Code Execution möglich wird. Entscheidend ist die Transportebene: Angreifer müssen Brotli-Daten so liefern, dass eine betroffene Anwendung sie mit einem betroffenen Decoderpfad verarbeitet. In der Quelle wird das als Abhängigkeit davon beschrieben, ob eine Anwendung „attacker-controlled compressed data“ in den Decoder gibt. Für Teams heißt das: Nicht jeder Dienst, der Brotli „irgendwo“ nutzt, ist automatisch gefährdet. Relevant wird vor allem der Pfad, in dem untrusted Daten dekomprimiert werden – etwa in HTTP- oder Streaming-Workloads, die komprimierte Inhalte aus dem Internet verarbeiten.
Dass der Angriff technisch nicht nur real, sondern auch operationalisiert ist, zeigt die in der Meldung erwähnte Telemetrie aus dem Umfeld von Honeypot-Sensoren. Für CVE-2026-111497 wird beispielsweise eine beobachtete Exploit-Anfrage aus einer in den Niederlanden verorteten IP-Adresse genannt. Gleichzeitig fällt auf, dass die Exploit-Nachricht als „korrekt strukturierter Node2Shell“-Angriffsversuch beschrieben wird, bei dem die Brotli-Stream-Phasen und die erwarteten Schritte der Payload-Übergabe mit dem öffentlichen Werkzeug übereinstimmen. Diese Detailtreue ist ein typisches Muster massenorientierter Kampagnen: Wenn Tooling und Deployment-Parameter stimmen, sinkt die Hürde für Skalierung. Ergänzend meldete ein weiterer Sicherheitsanbieter ebenfalls Exploit-Verkehr in freier Wildbahn, einschließlich der Bestätigung, dass der veröffentlichte Payload auf verwundbaren Builds in eine Shell mündet.
Für die Patch-Strategie entsteht dadurch ein zweidimensionaler Prüfprozess: Erstens müssen Deployments die Produkt- bzw. Library-Versionen aktualisieren, die in den Advisories explizit als betroffen oder fixiert beschrieben werden. Zweitens müssen Betreiber ihre Softwarearchitektur so auditieren, dass sie verstehen, ob eingehende Daten im relevanten Decoderpfad landen. In der Quelle werden zahlreiche Ökosysteme genannt, die Brotli-Decoder oder entsprechende Integrationen enthalten können – von Server-Frameworks über Proxies bis hin zu Sprachruntimes. Bei Node.js nennt die Meldung konkrete Fix-Versionen: Node.js sei in den Versionen 22.23.4, 24.22.1 und 26.12.1 korrigiert, wobei ein „Workaround“ nicht als vollständige Remediation gilt. Für Express 5 mit Standard-JSON-Parsing wird außerdem beschrieben, dass viele Instanzen dadurch in den Risikobereich fallen, während die beobachtete Auswirkung bislang vor allem Skalierungs-Crashes und Code-Ausführung in einer engen Konfiguration ist.
Auch wenn viele Organisationen hoffen, über „Edge“-Geräte oder Filter bereits geschützt zu sein: Die Quelle betont, dass Brotli als weit verbreitete Open-Source-Komponente in unzähligen Projekten genutzt wird. Genau das triggert nicht nur Notfallpatches bei Herstellern, sondern auch Sicherheitsbewertungen bei Cloud- und Plattformanbietern. Ein Risikoindikator kommt zudem von Warnungen, die für eine große Zahl von Cloud-Umgebungen verwundbare Ressourcen und öffentlich exponierte Node.js-Instanzen adressieren. Für den operativen Betrieb ist die Konsequenz klar: Reihenfolge und Reichweite zählen. Teams sollten zuerst Systeme patchen, die tatsächlich eingehende, nicht vertrauenswürdige Daten dekomprimieren, und danach sekundäre Integrationen nachziehen. Für die öffentliche Verwaltung wird in der Meldung zudem eine harte Frist genannt: FCEB-Behörden haben Zeit bis 10. November 2026, um die notwendigen Fixes gegen beide Lücken umzusetzen.
Aus Marktsicht verschiebt sich damit der Fokus von „Sicherheitsnews“ hin zu „Deployment-Engineering“. PolyShell zeigt, wie schnell E-Commerce-Infrastrukturen über Upload- und CMS-Komponenten kompromittiert werden können, während der Brotli-Fall verdeutlicht, dass auch scheinbar robuste Libraries im Decoderpfad sicherheitsrelevant werden. Für Unternehmen bedeutet das: Asset- und Abhängigkeitsinventare müssen nicht nur Versionen listen, sondern auch Datenflüsse – also in welchen Services komprimierte Inhalte aus externen Quellen tatsächlich verarbeitet werden. Wer diese Verknüpfung zwischen Inventar und Laufzeitpfad sauber herstellt, reduziert die Zeit bis zur echten Risikoverminderung deutlich. In der aktuellen Lage wird sich genau daran zeigen, welche Organisationen ihre Patch-Prozesse vom „Update installieren“ zu einer nachweisbaren, zielgerichteten Risikobehebung weiterentwickelt haben.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CISA nimmt PolyShell und Brotli-RCE in KEV auf: Adobe Commerce/Magento betroffen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CISA nimmt PolyShell und Brotli-RCE in KEV auf: Adobe Commerce/Magento betroffen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CISA nimmt PolyShell und Brotli-RCE in KEV auf: Adobe Commerce/Magento betroffen« bei Google Deutschland suchen, bei Bing oder Google News!