My roundup for Oct 26 to 31, 2026: PHP2Shell and Node2Shell hit KEV, plus Anthropic, OpenAI, Mistral, GitLab, Cisco ASA, PolyShell and ConnectWise.

Sigue de lo de ayer, cuando ELLIO había reproducido la ejecución de código de Node2Shell en cuatro stacks x86-64 y visto un primer intento fallido: el desarrollo nuevo es que CISA agregó las dos el 27 de octubre, CVE-2026-48356 —PolyShell, CVSS 9,3, subida de archivos sin restricción en Adobe…

La agencia de ciberseguridad de Estados Unidos, CISA, incorporó dos fallas que ya están siendo explotadas a su catálogo de vulnerabilidades conocidas: una en el decodificador de compresión Brotli y otra en Adobe Commerce y Magento. Aunque ambas pueden permitir la ejecución de código, afectan a sistemas distintos y requieren revisar componentes diferentes. La inclusión del 27 de octubre de 2026 se basa en evidencia de explotación activa, según el aviso de CISA. La alerta ayuda a los administradores a priorizar la revisión de sus sistemas y las actualizaciones disponibles. ## Brotli: el riesgo depende de qué se descomprime La falla de Brotli, identificada como CVE-2026-111497 y conocida como Node2Shell, puede corromper la memoria de un proceso cuando una aplicación vulnerable descomprime datos manipulados. Según el proyecto Node.js, las consecuencias pueden incluir el cierre del servicio, la exposición de memoria o la ejecución remota de código. El riesgo no significa que todas las aplicaciones Node.js sean explotables de la misma forma: importa si procesan datos Brotli que un atacante puede controlar. El problema también alcanza a otras aplicaciones que incorporan el decodificador vulnerable. FomoEra había informado sobre una demostración de ejecución de código en un entorno de prueba. La incorporación al catálogo de CISA añade evidencia de explotación activa fuera de ese contexto. Imperva demuestra ejecución remota de código en Node.js con Node2ShellImperva probó Node2Shell en Node.js 24.22.0. El parche debe llegar también a contenedores y ejecutables.FomoEraPatricia Rodriguez SecurityWeek reportó que los sensores de Previdian detectaron un intento el 27 de octubre. La empresa aclaró que su nivel de confianza se refería a la identificación del intento y no a su éxito. En otro caso observado por ELLIO, la etapa final no consiguió ejecutar su objetivo en las pruebas del laboratorio. ## PolyShell y las tiendas en línea La segunda falla, CVE-2026-48356 o PolyShell, afecta a versiones de Adobe Commerce y Magento Open Source y permite la carga no restringida de archivos peligrosos. Adobe publicó una actualización de seguridad para las versiones afectadas. La firma Sansec identificó una campaña que había alcanzado 953 tiendas desde julio de 2025, en su mayoría basadas en Magento. La cifra corresponde a la campaña completa, no a tiendas que Sansec haya atribuido todas a PolyShell: la firma documentó una oleada de marzo en la que los atacantes usaron esta falla para introducir código malicioso en 471 tiendas en una hora. ## Qué revisar Los administradores deben identificar las versiones y componentes afectados, consultar los avisos de sus proveedores y aplicar las actualizaciones correspondientes. Para Node.js, el proyecto publicó correcciones para las ramas 22, 24 y 26; los entornos y dependencias que incluyan su propia copia de Brotli también necesitan revisión. Para Magento y Adobe Commerce, actualizar ayuda a cerrar la falla, pero una tienda ya comprometida también requiere investigar y atender la intrusión. _Fuentes:_ 1, 2, 3, 4, 5

The U.S. Cybersecurity and Infrastructure Security Agency (CISA) on Tuesday added two vulnerabilities impacting Adobe Commerce and Magento, and Google's Brotli decoder library to its Known Exploited Vulnerabilities (KEV) catalog, citing evidence of active exploitation. The vulnerabilities are listed below - CVE-2026-111497 (CVSS score: 9.2) - An unchecked return value vulnerability in

The U.S. Cybersecurity and Infrastructure Security Agency (CISA) on Tuesday added two vulnerabilities impacting Adobe Commerce and Magento, and Google's Brotli decoder library to its Known Exploited Vulnerabilities (KEV) catalog, citing evidence of active exploitation. The vulnerabilities are listed below - CVE-2026-111497 (CVSS score: 9.2) - An unchecked return value vulnerability in

Attackers used the PolyShell flaw to plant hidden code on hundreds of online stores. Who is affected, what shoppers should know and what owners must do now.

PolyShell ya entró en cientos de tiendas Magento sin pedir una sola contraseña. La falla de subida de archivos de Adobe Commerce y Magento quedó registrada el martes 27 de octubre en el Catálogo de Vulnerabilidades Explotadas Conocidas (KEV, por sus siglas en inglés) de la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA), el listado oficial de fallos usados en ataques reales. El registro lleva el código CVE-2026-48356 y una puntuación de 9,3 sobre 10 en la base nacional de vulnerabilidades. Adobe, dueña de la plataforma, le asigna 9,6 en su propio boletín.

CISA added Adobe Commerce/Magento’s PolyShell flaw and Brotli-related CVE-2026-111497 to its KEV catalog. Reports describe ongoing PolyShell attacks and…

Actively exploited Magento and Adobe Commerce file upload flaw (CVSS 9.3). Business impact, affected versions, APSB26-73 patch and compromise checks.

CISA adds exploited Adobe Commerce and Google Brotli flaws to its KEV catalog as attackers breach stores and target vulnerable decoders.

Haz clic para acceder al contenido completo.

{{rh9e7yNRO}}

This edition covers Israeli spyware targeting Starlink, withheld FISA rulings, NYPD's tracker retreat, Tailscale SSH flaws, authenticator leaks, eMudhra purges, and PolyShell breaches.

controlled by the threat actor read more about Adobe Commerce PolyShell Attacks Breach Hundreds of Stores as Brotli Exploit Traffic Emerges

A scanner-evading JavaScript loader infected nearly a thousand Magento stores; CISA added the upload flaw to its exploited catalog.

CISA just warned that Adobe Commerce / Magento high-risk bug CVE-2026-48356 (PolyShell) is being actively exploited—and it’s now listed in CISA’s KEV for exploited vulnerabilities. Translation: many ecommerce sites aren’t getting “hit once and done.” They may be stuck in a long-term compromise chain. Sansec reported a long-running Magento campaign: starting around July 2025, attackers began injecting malicious JavaScript loaders into affected stores. They kept rotating domains to extend survival time. So far, 953 ecommerce websites are reported impacted. What makes it scary isn’t only the injection—it’s the workflow. After initial access, attackers write malicious loader logic into Magento DB tables like cms_block. Then your pages appear normal while they secretly fetch external scripts from attacker-controlled infrastructure. The payload adapts based on visitor fingerprinting, deciding what to deliver next—making static detection far harder. Even patching may not fully break persistence. Sansec found a fully patched site (Magento 2.4.7-p10) still had attacker-created admin accounts and a backdoor called GSocket. Don’t just patch—hunt for rogue cms_block content, suspicious admin users, upload artifacts, and backdoor signals, and keep monitoring with logs + IOCs. #Magento #CyberSecurity #CISA #EcommerceSecurity #PolyShell #KEV

The U.S. Cybersecurity and Infrastructure Security Agency (CISA) on Tuesday added two vulnerabilities impacting Adobe Commerce and Magento, and Google's Brotli decoder library to its Known Exploited Vulnerabilities (KEV) catalog, citing evidence of active exploitation. The vulnerabilities are listed below - CVE-2026-111497 (CVSS score: 9.2) - An unchecked return value vulnerability in