Cảnh báo: Lỗ hổng trong Adobe Commerce và thư viện Brotli đang bị tin tặc khai thác hàng loạt

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa chính thức bổ sung hai lỗ hổng bảo mật vào danh mục Known Exploited Vulnerabilities (KEV), sau khi phát hiện bằng chứng về việc chúng đang bị khai thác tích cực trong thực tế.

Hai lỗ hổng đáng chú ý

• CVE-2026-111497 (Điểm CVSS 9.2): Lỗ hổng trong thư viện giải mã Brotli của Google. Kẻ tấn công không cần xác thực có thể lợi dụng các luồng dữ liệu nén Brotli được thiết kế đặc biệt để làm hỏng bộ nhớ, gây ra tình trạng từ chối dịch vụ (DoS), rò rỉ dữ liệu nhạy cảm hoặc thực thi mã từ xa (RCE).
• CVE-2026-48356 (Điểm CVSS 9.3): Lỗ hổng tải tệp tin không kiểm soát trên Adobe Commerce và Magento. Lỗ hổng này cho phép kẻ tấn công thực thi mã tùy ý với quyền của người dùng hiện tại, từ đó chiếm quyền kiểm soát tài khoản hoặc phiên làm việc.

Chiến dịch PolyShell và nguy cơ từ Brotli

Các chuyên gia bảo mật từ Sansec đã ghi nhận việc tin tặc sử dụng lỗ hổng CVE-2026-48356 (còn được gọi là PolyShell) để xâm nhập hàng trăm cửa hàng thương mại điện tử. Kẻ tấn công thực hiện tiêm một mã loader độc hại thông qua các khối CMS của Magento nhằm tải xuống và thực thi payload từ máy chủ điều khiển.

Trong khi đó, lỗ hổng trong thư viện Brotli (được gọi bằng các tên như Node2Shell, HTTP2Shell) cũng đang bắt đầu xuất hiện lưu lượng truy cập khai thác. Các nhà nghiên cứu từ ELLIO xác nhận đã phát hiện các nỗ lực khai thác thực tế, cho thấy đây có thể là một chiến dịch tấn công quy mô lớn.

Phạm vi ảnh hưởng và khuyến nghị

Do Brotli là một thư viện mã nguồn mở phổ biến, lỗ hổng này ảnh hưởng đến nhiều nền tảng và ngôn ngữ lập trình như Node.js, PHP, Bun, Envoy Proxy, .NET, Python và nhiều hệ thống khác. Các nhà cung cấp đã nhanh chóng phát hành bản patch để khắc phục sự cố.

Wiz cảnh báo rằng khoảng 91% môi trường cloud có chứa tài nguyên dễ bị tổn thương bởi CVE-2026-111497. Các tổ chức được khuyến cáo:

• Ưu tiên cập nhật các phiên bản phần mềm mới nhất theo khuyến cáo từ nhà sản xuất.
• Rà soát các instance Node.js hoặc các dịch vụ có giải mã dữ liệu Brotli từ nguồn không tin cậy.
• Đối với các cơ quan chính phủ và doanh nghiệp trọng yếu, việc áp dụng bản vá cần được thực hiện trước thời hạn 10/11/2026 theo yêu cầu của CISA.

Việc nâng cấp lên các phiên bản đã được vá là phương án khắc phục triệt để duy nhất hiện nay, vì nhiều nhà cung cấp không đưa ra giải pháp thay thế (workaround) tạm thời.

Nguồn tham khảo: The Hacker News