Ataques PolyShell invadem centenas de lojas; CISA confirma exploração ativa

O que aconteceu

Ataques chamados de PolyShell exploram uma falha de upload de arquivo no Adobe Commerce e no Magento (CVE-2026-48356) e invadiram centenas de lojas, segundo o The Hacker News. A CISA confirmou exploração ativa ao incluir a falha no catálogo KEV em 27 de outubro de 2026, com prazo federal em 10 de novembro de 2026. A Adobe corrigiu a falha nas atualizações de julho de 2026 (APSB26-73).

Por que importa

A falha permite execução de código arbitrário e acesso elevado ou controle da conta ou sessão da vítima, sem autenticação, segundo a CISA e o DailyDarkWeb. Toda loja Adobe Commerce ou Magento sem os patches de julho de 2026 está exposta a invasão. O uso em ransomware é listado como desconhecido pela CISA.

O que fazer

Atualize imediatamente com as atualizações de julho de 2026 da Adobe (APSB26-73). Depois do patch, procure webshells e blocos de CMS injetados, recomenda o DailyDarkWeb. Siga as mitigações do fornecedor, a BOD 26-04 e a triagem forense exigidas pela CISA.

Para o time técnico

CVE

CVE-2026-48356

Afetados

Adobe Commerce e Magento · Adobe Commerce e Magento. CVSS 9.6 para a CVE-2026-48356, segundo o DailyDarkWeb.

Exploração

Exploração ativa confirmada pela CISA; a falha entrou no KEV em 27 de outubro de 2026, com prazo federal de 10 de novembro de 2026. Ataques PolyShell invadiram centenas de lojas, segundo o The Hacker News. Uso em ransomware: desconhecido, segundo a CISA.

Correção

Atualizações de julho de 2026 da Adobe (APSB26-73), segundo o DailyDarkWeb. A CISA exige aplicar as mitigações conforme as instruções do fornecedor, seguir a BOD 26-04 e os requisitos de triagem forense, ou descontinuar o produto se não houver mitigação.

Vetor

Componente: Adobe Commerce e Magento. Falha: upload irrestrito de arquivo de tipo perigoso (CVE-2026-48356), explorável sem autenticação, segundo o DailyDarkWeb. Resultado: execução de código arbitrário no contexto do usuário atual, com possível acesso elevado ou controle da conta ou sessão da vítima, segundo a CISA.

Mais detalhes

A falha é conhecida como PolyShell. No mesmo anúncio de 27 de outubro de 2026, a CISA também adicionou ao KEV a CVE-2026-111497 (Google Brotli, CVSS 9.2), valor de retorno não verificado no decodificador que pode corromper a memória e permitir execução remota de código via fluxo comprimido malicioso, corrigida no Brotli 1.2.1 e no Node.js 26.12.1, 24.22.1 e 22.23.4, segundo o DailyDarkWeb. A CISA lista a falha do Brotli como explorada, embora o Node.js relatasse ausência de exploração em 22 de outubro, segundo o DailyDarkWeb. Para o Brotli, o DailyDarkWeb recomenda verificar avisos de fornecedores, imagens de contêiner e runtimes embutidos, não apenas o Node.js. Para lojas Magento sem os patches de julho, aplicar o patch e procurar webshells e blocos de CMS injetados.

Linha do tempo

1. 28/10/2026 17:29

   CISA adicionou a CVE-2026-48356 ao catálogo KEV em 27 de outubro, com prazo federal de correção até 10 de novembro; a Adobe já corrigiu a falha nas atualizações de julho de 2026 (APSB26-73).

2. 28/10/2026 04:16

   Relato detalha ataques PolyShell que invadiram centenas de lojas depois da inclusão da falha no KEV.

3. 27/10/2026 16:47

   CISA adicionou a falha ao catálogo KEV com prazo federal de 10 de novembro de 2026.

Fontes 3 fontes

• CVE-2026-48356: Adobe Commerce and Magento (Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type Vulnerability) CISA KEV
• Adobe Commerce PolyShell Attacks Breach Hundreds of Stores as Brotli Exploit Traffic Emerges The Hacker News
• @DailyDarkWeb @DailyDarkWeb

Ver todas as notícias