CISA inclui falhas Brotli e PolyShell no catálogo de vulnerabilidades exploradas (KEV)
Agência exige correção rápida de órgãos federais dos EUA e aumenta urgência para administradores aplicarem patches e reconstruírem serviços afetados
A agência de segurança cibernética dos Estados Unidos CISA adicionou nesta terça‑feira duas vulnerabilidades de alta gravidade ao seu Known Exploited Vulnerabilities (KEV), instruindo agências civis federais a corrigirem os problemas dentro de prazos definidos por fornecedores.
A falha no Brotli identificada como CVE‑2026‑111497 é um bug de retorno não verificado/fora dos limites no decodificador Brotli do Google. Ele pode corromper a memória do decodificador, expor memória sensível do processo, causar travamentos e, em algumas configurações, permitir execução remota de código quando uma aplicação descomprime fluxos Brotli controlados por um atacante.
A falha no Adobe Commerce/Magento CVE‑2026‑48356, chamada PolyShell, é uma vulnerabilidade de upload de arquivos sem restrição que invasores têm usado para injetar um carregador (loader) em blocos do CMS e, assim, buscar e executar cargas controladas pelo atacante em pelo menos 953 lojas, segundo a Sansec.
Diversos honeypots e redes de sensores registraram tentativas de exploração em 26 e 27 de outubro, e ferramentas públicas de prova de conceito demonstraram execução de código contra certas builds do Node.js. A telemetria relacionou parte da atividade a um endereço IP operador já visto em campanhas de varredura em massa.
Fornecedores como Node.js, Google, Microsoft, os mantenedores do PHP e outros publicaram correções e avisos. A CISA e especialistas recomendam que defensores atualizem os pacotes afetados, reconstrua m e redeployem containers e imagens serverless, reiniciem processos ou, temporariamente, bloqueiem a decodificação Brotli no proxy para reduzir o risco.