CISA列Magento與Brotli漏洞為已遭利用，企業應先盤點部署
美國網絡安全及基礎設施安全局（CISA）於10月27日把兩項漏洞加入「已知遭利用漏洞」目錄（KEV）：Adobe Commerce／Magento的CVE-2026-48356，以及Google Brotli的CVE-2026-111497。這代表CISA掌握兩者正被利用的證據；營運電商網站、Node.js或Python服務的團隊，應把確認自身部署與供應鏈依賴列作優先工作。
不過，受影響與否不能只看系統有否使用壓縮功能。
兩條修補線，風險焦點不同
CVE-2026-48356又稱PolyShell，影響Adobe Commerce及Magento，問題是未限制上傳危險類型檔案。對外提供商品後台、檔案上傳或整合插件功能的電商部署，應先核對產品版本、現有修補狀態及上傳權限設定，並依供應商修補指引處理。
另一項CVE-2026-111497被稱為Node2Shell、HTTP2Shell、Python2Shell、Brotli2Shell及Broccoli2Shell。iThome指出，漏洞源於Google解壓縮程式庫Brotli沒有檢查回傳值。它的棘手之處在於Brotli可被嵌入眾多軟件和程式庫，風險盤點不應只停留在主機已安裝的套件，亦要追查應用程式鎖定的依賴版本、容器映像，以及建置流程帶入的元件。
先確認暴露面，再安排修補次序
對網站管理員與開發團隊而言，較務實的次序可包括：
- 先識別Adobe Commerce／Magento對外系統，核對CVE-2026-48356的修補版本與上傳相關設定。
- 檢視Node.js、Python及其他可能內含Brotli元件的應用程式依賴，將直接與間接套件分開記錄。
- 優先處理可由互聯網存取、處理不受信任壓縮資料，或涉及檔案上傳的工作負載；修補後再進行回歸測試。
- 為未能即時更新的系統保留緩解紀錄，收緊不必要的上傳與外部輸入途徑，並持續留意供應商對特定包裝版本的公告。
iThome報道稱，CISA雖已有活躍利用證據，但當時未見公開披露的CVE-2026-111497攻擊事故。這個落差不應被解讀為可延後處理：對Brotli而言，下一步關鍵是各軟件供應商和程式庫維護者釐清受影響版本，讓企業可把廣泛的元件清單收窄為可驗證、可修補的風險項目。CISA要求美國聯邦機構在11月10日前完成處置，亦反映兩項漏洞的修補急切性。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — Magento、Brotli漏洞遭積極利用 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
