CISA inclui falhas exploradas do Adobe Commerce e Brotli no catálogo KEV

A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) adicionou duas vulnerabilidades ao catálogo de falhas conhecidas e exploradas em 27 de outubro: CVE-2026-48356, no Adobe Commerce e Magento, e CVE-2026-111497, no componente de compressão Brotli mantido pelo Google. A inclusão no KEV confirma evidência de exploração e eleva a prioridade de correção para ambientes expostos.

A falha do Adobe Commerce e Magento permite o envio irrestrito de arquivo de tipo perigoso. Segundo a descrição oficial, isso pode levar à execução arbitrária de código no contexto do usuário atual e ampliar o controle sobre a conta ou a sessão da vítima. Administradores devem aplicar as orientações do boletim APSB26-73 da Adobe, revisar extensões e integrações e procurar arquivos ou processos inesperados.

No Brotli, um valor de retorno não verificado pode permitir que um atacante remoto e não autenticado corrompa a memória adjacente do decodificador por meio de um fluxo comprimido preparado. Os impactos descritos incluem exposição de memória sensível, negação de serviço e possível execução de código. Como se trata de uma biblioteca incorporada a diferentes produtos, a correção exige identificar dependências diretas e indiretas, não apenas instalações explícitas do componente.

A CISA estabeleceu 10 de novembro como prazo para os órgãos federais abrangidos aplicarem mitigações conforme as instruções dos fornecedores e avaliarem a exposição dos ativos. O catálogo não associa, até o momento, nenhuma das duas falhas a campanhas conhecidas de ransomware. Outras organizações devem tratar a atualização como emergencial, validar versões corrigidas, reduzir exposição quando a correção imediata não for possível e investigar sinais de comprometimento anteriores à aplicação do patch.