La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) añadió dos vulnerabilidades críticas a su catálogo KEV. Este catálogo reúne fallas con explotación activa comprobada. Una afecta a tiendas en línea con Adobe Commerce y Magento. La otra afecta a la biblioteca de compresión Brotli de Google, presente en Node.js, PHP, .NET, Python y muchos otros componentes de servidores web.
La primera falla es CVE-2026-48356, conocida como PolyShell, con una puntuación CVSS de 9.3 sobre 10. CVSS es la escala estándar de gravedad. La falla permite subir archivos de tipo peligroso sin restricción y ejecutar código arbitrario. La firma Sansec observó que los atacantes la usan para comprometer cientos de tiendas. Inyectan un cargador malicioso en un bloque CMS de Magento, es decir, en un fragmento de contenido administrable del sitio. Ese cargador descarga y ejecuta una carga controlada por el atacante. Aún no se ha recuperado la segunda fase, por lo que se desconoce el objetivo final. La campaña está activa desde al menos julio de 2025.
La segunda falla es CVE-2026-111497, con CVSS de 9.2, también llamada Broccoli2Shell, HTTP2Shell o Node2Shell. El decodificador Brotli no verifica un valor de retorno. Un atacante remoto sin autenticación puede enviar un flujo comprimido manipulado y corromper la memoria del proceso. El resultado puede ser una caída del servicio, la fuga de memoria sensible o la ejecución remota de código. El riesgo existe cuando una aplicación descomprime datos Brotli que controla el atacante. Según Sysdig, Express 5 con su análisis JSON por defecto deja expuestas muchas instalaciones. Wiz estima que el 91 % de los entornos en la nube tiene recursos vulnerables. Además, el 82 % expone públicamente instancias de Node.js.
La explotación ya ocurre. ELLIO registró tráfico con el exploit público, que obtiene una consola remota en Node.js v24.22.0. El origen fue la dirección 94.154.43[.]7, ubicada en Países Bajos, que también ataca las fallas PHP2Shell. Este patrón apunta a un operador dedicado a la explotación masiva. Muchos fabricantes publicaron avisos, entre ellos Fortinet, Microsoft, Red Hat, Ubuntu, Amazon Linux, Cisco, F5 y Palo Alto Networks.
Acciones recomendadas:
- Node.js: actualizar a 22.23.4, 24.22.1 o 26.12.1. No existe solución temporal, así que actualizar es la única corrección completa. Las ramas sin soporte deben migrar a una rama vigente.
- PHP: instalar 8.5.12-1, 8.4.27-1, 8.3.36-1 u 8.2.35-1, y actualizar la extensión Brotli de PHP.
- Otros componentes: revisar parches para Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse y la gema “brotli” de Ruby.
- Adobe Commerce y Magento: aplicar la actualización de seguridad del fabricante y revisar los bloques CMS en busca de scripts desconocidos.
- Priorización: parchear primero los servicios expuestos a Internet que procesan contenido comprimido enviado por usuarios.
Las agencias federales civiles de Estados Unidos tienen plazo hasta el 10 de noviembre de 2026 para corregir ambas fallas.
Qué significa para tu empresa: si vendes en línea con Magento o publicas aplicaciones en Node.js o PHP, haz esta semana un inventario de versiones y aplica los parches citados. Mientras completas las actualizaciones, un WAF para aplicaciones (firewall de aplicaciones web, que filtra solicitudes maliciosas antes de que lleguen al servidor) reduce la exposición. Fabricantes como Cloudflare y Microsoft Azure ya publicaron reglas de emergencia contra esta falla. Revisa también si tu WAF actual cubre el tráfico comprimido con Brotli, y no lo trates como sustituto del parche.
Fuente original: The Hacker News — ver artículo →