Mi került a listára?

A CISA 2026. október 27-i közleménye szerint mindkét hibát aktív kihasználás bizonyítéka alapján vette fel. A KEV-katalógus azokat a hibákat gyűjti, amelyeket támadók már ténylegesen használnak.

  • PolyShell (CVE-2026-48356): az Adobe Commerce és a Magento Open Source korlátozás nélkül enged veszélyes fájlt feltölteni. Az Adobe kritikusnak minősíti, kihasználásához nem kell bejelentkezés. Az NVD és az Adobe CVE-rekordja szerint CVSS-pontszáma 9,3, az Adobe közleménye 9,6-ot ír.
  • Node2Shell (CVE-2026-111497): a Google Brotli tömörítőkönyvtár hibája. CVSS 4.0 szerinti pontszáma 9,2 (NVD). A The Hacker News szerint bejelentkezés nélkül memóriasérülést, adatszivárgást vagy kódfuttatást okozhat.

Az amerikai szövetségi hivataloknak 2026. november 10-ig kell javítaniuk. A határidő magáncégekre nem vonatkozik. A CISA minden szervezetnek azt javasolja, hogy a KEV-hibákat elsőbbséggel javítsa.

A javítás fent van, a hátsó ajtó is maradhat

Az Adobe a PolyShell javítását 2026. július 14-én adta ki APSB26-73 néven. Az augusztus 11-én frissített közlemény szerint az Adobe nem tud támadásokról. Ez a CISA-felvétel előtti állapot.

A hibát felfedező Sansec szerint bejelentkezés nélkül, képnek álcázott fájl tölthető fel a bolt REST-felületén. A Sansec október 24-i jelentése szerint egy 2025 júliusa óta futó kampány 953 boltot fertőzött meg, többségében Magento-alapúakat.

A támadók a bolt tartalomblokkjaiba (CMS block) rejtenek kódbetöltőt. A Sansec szerint 2026. március 30-án egy óra alatt 471 boltba juttatták be. Előtte PolyShell-lel webshellt, vagyis távoli vezérlést adó fájlt töltöttek fel.

A frissítés önmagában kevés. A Sansec szerint a feltöltött fájl akkor is a szerveren marad, ha a szerver nem engedi lefutni. A javítás ezeket a fájlokat nem törli (Rescana). A Sansec egy teljesen frissített boltban is megtalálta a kódbetöltőt. Ott korábban ismeretlen admin-fiók és hátsó ajtó került elő.

Node.js: teljes védelmet csak a frissítés ad

A Node.js a Brotli-hibát 2026. október 21-én javította a 22.23.4, a 24.22.1 és a 26.12.1 verzióban. Az Akamai szerint a Node.js nem ad kerülőmegoldást. A nem támogatott ágak, így a 25.x, a 23.x és a 20.x, nem kapnak javítást.

A kockázat attól függ, hogy az alkalmazás kibont-e kívülről érkező Brotli-adatot. Az Akamai szerint ez a beépített fetch() hívásnál és az Express 5 alapbeállításánál is megtörténik. Az ELLIO a The Hacker News szerint már látott olyan forgalmat, amely a nyilvános, parancssori hozzáférést adó támadókódot hordozta. A hiba miatt a PHP, a Python és a .NET is javítást adott ki. Ha az alkalmazásnak nem kell tömörített kérést fogadnia, az Akamai átmeneti enyhítésnek a body-parser inflate beállításának kikapcsolását javasolja.

Az NBSZ NKI 2026. október 26-án figyelmeztetett a Brotli-hibára. Adatlapja kritikusnak és ismerten kihasználtnak jelöli. Magyar érintettről a források nem írnak.

⚠ Figyelem: a javítás a PolyShell-en át érkező új feltöltést zárja ki. A korábban feltöltött fájlt, admin-fiókot és kódbetöltőt nem távolítja el. A támadások 2026 márciusában, a július 14-i javítás előtt kezdődtek. Ezért a javítás után is kell a fájl-, tartalom- és fiókellenőrzés.

Teendők: ezt kérdezze meg a webügynökségtől

Ha a webáruháza Magento vagy Adobe Commerce alapú:

  1. Fent van-e az APSB26-73 javítás? Az Adobe a „2026-jul” végű verziókat jelöli javítottnak.
  2. Átnézték-e a pub/media/custom_options/ és a pub/media/customer_address/ mappát, és keresték-e az accesson.php fájlt (Sansec)?
  3. Átnézték-e a tartalomblokkokat és a CMS-oldalakat idegen szkript után?
  4. Átnézték-e az admin-fiókokat? A Sansec tisztítás után az adatbázis-, admin- és API-jelszavak cseréjét is javasolja.

Ha a weboldala vagy webes alkalmazása Node.js-en fut:

  1. Melyik verzió fut? A javított verziók: 22.23.4, 24.22.1 és 26.12.1.
  2. Ha a szerver nem támogatott ágon fut, mikor váltanak támogatott ágra?
Források

AI-közreműködés: AI-asszisztált. A cikk megírásában mesterséges intelligencia közreműködött. A tartalomért a Loop szerkesztősége felel. (2026)