ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA Salı günü Adobe Commerce ve Magento'yu etkileyen iki açık ile Google'ın Brotli kod çözücü kütüphanesini aktif istismar kanıtları gerekçesiyle Bilinen İstismar Edilen Açıklar kataloğuna ekledi.
Açıklar aşağıda listeleniyor.
CVE-2026-111497 (CVSS puanı: 9,2) - Google Brotli'de doğrulanmamış dönüş değeri açığı. Uzakta bulunan kimliği doğrulanmamış bir saldırganın, hazırlanmış Brotli sıkıştırılmış akışı kullanarak bitişik kod çözücü durum belleğini bozmasına, hassas bellek içeriğini ifşa etmesine, hizmet reddine neden olmasına veya potansiyel olarak keyfi kod çalıştırmasına olanak tanıyabilir.
CVE-2026-48356 (CVSS puanı: 9,3) - Adobe Commerce ve Magento'da tehlikeli türde dosya yüklemesine ilişkin kısıtlamasız yükleme açığı. Mevcut kullanıcı bağlamında keyfi kod çalıştırılmasına neden olabilir ve bu da mağdurun hesabı veya oturumu üzerinde yetki yükseltme veya kontrol elde edilmesine yol açabilir.
Gelişme, Sansec'in CVE-2026-48356 olarak da bilinen PolyShell'i kullanarak saldırganların bir Magento CMS bloğu üzerinden kötü amaçlı bir yükleyici enjekte etmek için yüzlerce e-ticaret mağazasını ele geçirdiğini gözlemlediğini açıklamasından günler sonra geldi.
Yükleyici, saldırgan tarafından kontrol edilen bir yükü almak ve çalıştırmak üzere tasarlandı; şimdiye kadar herhangi bir sonraki aşama kötü amaçlı yazılımı kurtarılmadı, bu da kampanyanın tam hedeflerini belirlemeyi zorlaştırıyor. Faaliyetin en az Temmuz 2025'ten beri devam ettiği değerlendiriliyor.
CVE-2026-111497 için, diğer adları Broccoli2Shell, HTTP2Shell ve Node2Shell olan açıkla ilgili olarak, tehdit istihbaratı firması Previdian'dan gelen telemetri verileri, 27 Ekim 2026 tarihi itibarıyla ABD merkezli bir IP adresinden honeypot sensörlerine yönelik bir istismar girişimi kaydedildiğini gösteriyor. Bu çabaların kapsamının geniş olup olmadığı şu anda bilinmiyor.
Rapid7'ye göre, "Bir saldırganın bir uygulamanın node:zlib ile açtığı Brotli verisi sağlaması durumunda işlem belleğini bozabilir. Node.js'e göre bu bozulma işlem çökmesine, hassas işlem belleğinin ifşa olmasına veya uzaktan kod çalıştırılmasına yol açabilir. Maruziyet, bir uygulamanın saldırgan tarafından kontrol edilen sıkıştırılmış veriyi etkilenen kod çözücüye iletip iletmediğine bağlıdır."
ELLIO da Pazartesi günü sensörlerinin "hassas derlemelerde bir kabuk elde ettiğini doğruladığımız genel istismarı taşıyan CVE-2026-111497 istismar trafiğini vahşi doğada kaydettiğini" bildirdi. Faaliyet, PHP2Shell'i hedefleyen istismar çabalarına da katılan ve Hollanda'ya konumlandırılan 94.154.43[.]7 IP adresinden kaynaklanıyor; PHP2Shell, kimliği doğrulanmamış uzaktan kod çalıştırılmasına neden olabilecek PHP'deki iki kritik açık.
ELLIO'ya göre, "Saldırganın yükü, node v24.22.0 için gerçek, doğru yapılandırılmış bir Node2Shell istismar girişimi - Brotli akışı, kademeli yer değiştirme, pivot çifti ve teslimat tümü doğru ve genel araçlarla aynı. Bu, RCE'nin kitlesel istismar odaklı bir operatör tarafından benimsendiğini gösteriyor."
Brotli'nin yaygın olarak dağıtılan açık kaynaklı bir kütüphane olması ve çok sayıda proje tarafından benimsenmesi acil bir tepkiyi tetikledi; çeşitli satıcılar yama yayınladı veya ürünlerinin açık tarafından etkilenip etkilenmediğini değerlendiriyor.
Bunlar arasında PHP, 8.5.12-1, 8.4.27-1, 8.3.36-1 ve 8.2.35-1 sürümlerini yayınlayan PHP, Node.js, Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, PHP Brotli uzantısı ve Ruby "brotli" gem'i yer alıyor. Bazı danışmalara bağlantılar aşağıda.
Palo Alto Networks
Akamai'ye göre, "Node.js açığı 22.23.4, 24.22.1 ve 26.12.1 sürümlerinde düzeltti. Node.js danışmanlığı bir geçici çözüm sunmuyor, bu nedenle yükseltme tek tam düzeltme yöntemi. Kullanımdan kaldırılmış bir sürüm hattını çalıştıran kuruluşlar desteklenen bir sürüm hattına geçmeli."
Google'a ait Wiz, "Bulut ortamlarının yüzde 91'inde CVE-2026-111497'e karşı savunmasız kaynaklar bulunuyor ve bulut ortamlarının yüzde 82'sinde kamuya açık olarak ifşa edilmiş Node.js örnekleri var" uyarısında bulundu.
Sysdig'e göre, "Node2Shell her Node.js hizmetinde bir hata değil, saldırganın etkilediği Brotli'yi kod çözdüğü hizmetlerde bir hata. Varsayılan JSON ayrıştırmasıyla Express 5, bunlardan büyük sayıda örneği bu gruba sokuyor. Şimdiye kadar gösterilen etki ölçekte çökmeler ve dar bir yapılandırmada kod çalıştırma olduğundan, yama sırası erişilebilirliğe göre belirlenmeli."
Federal Sivil Yürütme Şubesi ajansları, iki açık için gerekli düzeltmeleri 10 Kasım 2026'ya kadar uygulamaları için süreye sahip.
