Wprowadzenie do problemu / definicja
Adobe Commerce i Magento od lat należą do najważniejszych platform e-commerce wykorzystywanych przez firmy obsługujące sprzedaż online o dużej skali. Z tego powodu pozostają także atrakcyjnym celem dla cyberprzestępców. Najnowsze alerty bezpieczeństwa koncentrują się wokół podatności CVE-2026-48356, określanej jako PolyShell, która może umożliwić przesłanie niebezpiecznego pliku, a w konsekwencji doprowadzić do zdalnego wykonania kodu.
Równolegle pojawiły się informacje o aktywnym wykorzystywaniu krytycznej luki CVE-2026-111497 w bibliotece Google Brotli. To pokazuje wyraźny trend: napastnicy coraz częściej łączą błędy w aplikacjach biznesowych z podatnościami obecnymi w komponentach zależnych.
W skrócie
- CISA dodała do katalogu aktywnie wykorzystywanych podatności luki CVE-2026-48356 oraz CVE-2026-111497.
- Ataki PolyShell miały doprowadzić do naruszenia bezpieczeństwa setek sklepów opartych na Adobe Commerce i Magento.
- Napastnicy osadzali złośliwy loader w blokach CMS Magento, aby pobierać kolejne etapy ładunku z własnej infrastruktury.
- W przypadku Brotli odnotowano pierwsze sygnały ruchu exploitacyjnego w środowiskach produkcyjnych.
- Organizacje powinny nie tylko wdrożyć poprawki, ale również aktywnie szukać śladów wcześniejszej kompromitacji.
Kontekst / historia
Ataki na platformy e-commerce nie są zjawiskiem nowym. Środowiska sklepów internetowych od dawna przyciągają grupy przestępcze zainteresowane przejęciem warstwy aplikacyjnej, osadzeniem trwałego dostępu oraz późniejszą manipulacją treścią, procesem płatności lub danymi klientów.
Kampania związana z CVE-2026-48356 wpisuje się w ten schemat. Według publicznie opisywanych obserwacji aktywność związana z PolyShell trwa co najmniej od lipca 2025 roku. Znaczenie incydentu wyraźnie wzrosło po uznaniu tej podatności przez CISA za aktywnie wykorzystywaną. Taki status zwykle oznacza, że zagrożenie nie ma już charakteru teoretycznego, lecz stanowi realne ryzyko operacyjne dla organizacji.
Dodatkowym problemem jest równoległe pojawienie się ostrzeżeń dotyczących luki w Brotli. Z perspektywy obrońców oznacza to konieczność zarządzania ryzykiem jednocześnie na poziomie aplikacji biznesowej i całego łańcucha zależności technologicznych.
Analiza techniczna
CVE-2026-48356 została opisana jako podatność typu unrestricted file upload of dangerous type. W praktyce chodzi o możliwość przesłania do aplikacji pliku, który nie powinien zostać zaakceptowany przez mechanizmy walidacji. Jeżeli taki plik zostanie następnie zapisany w odpowiednim miejscu lub uruchomiony w wykonywalnym kontekście aplikacji, atakujący może doprowadzić do wykonania własnego kodu.
W analizowanych kampaniach przeciwko Adobe Commerce napastnicy wykorzystywali PolyShell do osadzania złośliwego loadera w blokach CMS Magento. To podejście jest szczególnie groźne, ponieważ blok CMS stanowi legalny element aplikacji i może posłużyć jako trwały nośnik złośliwej logiki. Loader pełnił rolę pośrednią: pobierał i uruchamiał dalszy ładunek z infrastruktury kontrolowanej przez operatora ataku. Brak odzyskanego końcowego malware sugeruje, że kolejne etapy mogły być dostarczane dynamicznie, zależnie od wartości celu lub wymagań operacyjnych.
Druga luka, CVE-2026-111497, dotyczy biblioteki Google Brotli i wiąże się z niekontrolowaną obsługą wartości zwracanej. Potencjalne skutki obejmują uszkodzenie pamięci, ujawnienie danych z procesu, awarię usługi, a w niektórych scenariuszach również wykonanie kodu. Szczególnie narażone są środowiska, w których dane Brotli kontrolowane przez użytkownika trafiają do podatnego dekodera, w tym wybrane usługi Node.js oraz inne produkty osadzające tę bibliotekę.
Konsekwencje / ryzyko
Dla operatorów sklepów internetowych skutki udanego ataku na Adobe Commerce mogą być bardzo poważne. Uzyskanie trwałego dostępu do aplikacji może prowadzić do dalszego przejęcia panelu administracyjnego, modyfikacji treści strony, dystrybucji złośliwego kodu po stronie klienta, a nawet przygotowania środowiska pod kradzież danych.
Ryzyko nie kończy się na samym incydencie technicznym. Kompromitacja może oznaczać przerwy w działaniu sklepu, utratę integralności środowiska produkcyjnego, koszty reakcji na incydent oraz problemy regulacyjne i reputacyjne. W branży e-commerce szczególnie istotne są również skutki wtórne dla klientów i partnerów biznesowych.
W przypadku podatności Brotli zagrożenie ma charakter bardziej ekosystemowy. Biblioteka jest wykorzystywana w wielu projektach, dlatego jedna luka może wpływać na warstwy aplikacyjne, usługi pośredniczące, frameworki i komponenty chmurowe. To klasyczny przykład ryzyka w łańcuchu dostaw oprogramowania.
Rekomendacje
Organizacje korzystające z Adobe Commerce lub Magento powinny w pierwszej kolejności potwierdzić wdrożenie poprawek bezpieczeństwa. Jednocześnie nie można zakładać, że sam patch rozwiązuje problem, jeśli środowisko mogło zostać wcześniej naruszone.
- Przeprowadzić przegląd bloków CMS, niestandardowych modułów i katalogów uploadu pod kątem nieautoryzowanych zmian.
- Zweryfikować logi aplikacyjne, administracyjne i serwerowe pod kątem nietypowych operacji uploadu oraz zmian treści CMS.
- Sprawdzić obecność loaderów, web shelli, nowych zadań harmonogramu i podejrzanych połączeń wychodzących.
- Wymusić rotację poświadczeń administracyjnych, kluczy API i sekretów, jeśli istnieje podejrzenie kompromitacji.
- Wdrożyć monitorowanie integralności plików i konfiguracji dla krytycznych komponentów platformy.
W odniesieniu do CVE-2026-111497 konieczna jest pełna inwentaryzacja zależności wykorzystujących Brotli, zarówno bezpośrednio, jak i pośrednio. Priorytet należy nadać usługom Node.js, proxy oraz komponentom przetwarzającym skompresowane dane wejściowe.
- Ocenić osiągalność ścieżek kodu korzystających z dekodowania Brotli.
- Ograniczyć powierzchnię ataku przez filtrowanie i walidację danych wejściowych.
- Stosować segmentację oraz zasadę najmniejszych uprawnień dla usług aplikacyjnych.
- Monitorować aktualizacje dostawców i publiczne wskaźniki kompromitacji.
- Uwzględnić podatności komponentów open source w procesie zarządzania ryzykiem i SBOM.
Podsumowanie
Ataki wykorzystujące PolyShell pokazują, że Adobe Commerce pozostaje celem o wysokiej atrakcyjności dla cyberprzestępców. Największym problemem nie jest wyłącznie sama możliwość przesłania niebezpiecznego pliku, lecz fakt, że po udanym naruszeniu napastnicy mogą utrzymywać trwały dostęp i etapowo rozwijać atak.
Równoległe sygnały eksploatacji luki w Brotli dodatkowo podkreślają, że bezpieczeństwo nowoczesnych środowisk e-commerce trzeba analizować szerzej niż tylko przez pryzmat jednej aplikacji. Kluczowe znaczenie mają szybkie aktualizacje, aktywne poszukiwanie śladów kompromitacji oraz dokładna ocena ekspozycji na podatne komponenty.
Źródła
- Adobe Commerce PolyShell Attacks Breach Hundreds of Stores as Brotli Exploit Traffic Emerges — https://thehackernews.com/2026/10/adobe-commerce-polyshell-attacks-breach.html
- CISA Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- CVE-2026-48356 — CVE Program — https://www.cve.org/CVERecord?id=CVE-2026-48356
- CVE-2026-111497 — CVE Program — https://www.cve.org/CVERecord?id=CVE-2026-111497
- Node.js Security Releases — https://nodejs.org/en/blog/vulnerability