Tấn công PolyShell lợi dụng lỗ hổng Adobe Commerce, ảnh hưởng hàng trăm cửa hàng
"Multiple vulnerabilities were disclosed and are being actively exploited. CVE-2026-111497 affects Google's Brotli decoder, potentially leading to remote code execution, while CVE-2026-48356 impacts Adobe Commerce and Magento, allowing for arbitrary code execution via file upload. CISA has added both to its KEV catalog, and numerous vendors have released patches."
Hai lỗ hổng CVE-2026-111497 và CVE-2026-48356 tạo ra nguy cơ thực thi mã từ xa và mất dữ liệu nghiêm trọng.
Các cửa hàng thương mại điện tử sử dụng Adobe Commerce/Magento có thể bị xâm nhập và mất uy tín do lỗ hổng PolyShell.
CISA vừa thêm hai lỗ hổng vào KEV catalog: CVE-2026-111497 (Brotli) và CVE-2026-48356 (Adobe Commerce/Magento). Sansec ghi nhận kẻ tấn công lợi dụng CVE-2026-48356 (PolyShell) để xâm nhập hàng trăm cửa hàng thương mại điện tử từ tháng 7/2025, cài đặt một loader độc hại.
Lỗ hổng CVE-2026-48356 cho phép thực thi mã tùy ý, có thể chiếm quyền kiểm soát tài khoản người dùng. CVE-2026-111497 trong thư viện Brotli có thể gây ra từ chối dịch vụ, rò rỉ bộ nhớ hoặc thậm chí thực thi mã từ xa.
Theo Previdian, đã có một nỗ lực khai thác CVE-2026-111497 từ một địa chỉ IP tại Mỹ. ELLIO cũng xác nhận đã phát hiện lưu lượng khai thác CVE-2026-111497, sử dụng công cụ công khai để tấn công Node.js phiên bản 24.22.0.
Nhiều nhà cung cấp đã phát hành bản vá, bao gồm PHP, Node.js, và các nền tảng như Amazon Linux, Cloudflare, Microsoft Azure. Wiz cảnh báo 91% môi trường đám mây dễ bị tấn công CVE-2026-111497, và 82% có các phiên bản Node.js lộ ra ngoài. Các cơ quan liên bang Mỹ có thời hạn đến 10/11/2026 để vá các lỗ hổng này.
Câu hỏi thường gặp
CVE-2026-111497 là gì?
CVE-2026-111497 là một lỗ hổng trong thư viện Brotli, có thể cho phép kẻ tấn công thực thi mã từ xa, gây ra từ chối dịch vụ hoặc rò rỉ bộ nhớ.
CVE-2026-48356 ảnh hưởng đến những nền tảng nào?
CVE-2026-48356 ảnh hưởng đến Adobe Commerce và Magento, cho phép kẻ tấn công thực thi mã tùy ý trên máy chủ.
CISA đã làm gì để ứng phó với các lỗ hổng này?
CISA đã thêm cả hai lỗ hổng vào KEV catalog, yêu cầu các cơ quan liên bang Mỹ vá lỗi trước ngày 10/11/2026.
Góc nhìn của Orange Cloud
Theo chúng tôi, các doanh nghiệp Việt Nam sử dụng Adobe Commerce hoặc Magento cần kiểm tra và cập nhật lên phiên bản mới nhất ngay lập tức. Lỗ hổng PolyShell có thể dẫn đến mất dữ liệu và uy tín. Điều đáng chú ý là lỗ hổng Brotli ảnh hưởng rộng rãi đến nhiều dự án sử dụng thư viện này, nên việc vá lỗi là cần thiết cho bất kỳ ai dùng Node.js.