Angreifer nehmen Brotli-, Adobe-Commerce- und Magento-Lecks ins Visier

Die kürzlich als „Broccoli2Shell“ bekannt gewordene Brotli-Sicherheitslücke wird bereits im Internet attackiert. Auch in Adobe Commerce und dessen Open-Source-Ableger Magento klafft eine Sicherheitslücke, auf die es bösartige Akteure im Netz erfolgreich abgesehen haben.

Davor warnt aktuell die US-amerikanische IT-Sicherheitsbehörde CISA und nimmt die Schwachstellen in den „Known-Exploited-Vulnerabilities“-Katalog auf. Online-Shop-Betreiber, die Adobe Commerce oder Magento einsetzen, sollten daher sicherstellen, dass sie Updates aus dem Juli dieses Jahres oder neuer installiert haben. Die attackierte Schwachstelle erlaubt unbeschränktes Hochladen von Dateien mit gefährlichen Dateitypen, wodurch beliebiger Code im Kontext des aktuellen Nutzerkontos ausführbar ist. Außerdem können Angreifer das möglicherweise zum Ausweiten ihrer Zugriffsrechte oder der Kontrolle von Nutzerkonten oder -Sitzungen missbrauchen. Opfer müssen dazu eine bösartige URL ansurfen oder mit einer kompromittierten Webseite interagieren, schreibt Adobe in der Schwachstellenbeschreibung (CVE-2026-48356, CVSS laut NVD 9.3, Risiko „kritisch“). Während die CISA keine weiteren Informationen zu den bestätigten Angriffen liefert, hat die IT-Sicherheitsfirma Sansec eine Analyse einer Angriffskampagne online gestellt. Demnach hat die Gruppe seit Juli 2025 mindestens 953 Shops kompromittiert, überwiegend auf Magento-Basis. Im März nutzte sie dafür die auf „PolyShell“ getaufte Lücke, um Webshells hochzuladen.

Brotli und Broccoli

Kleine Brötchen backen heißt es wohl, wenn Admins ihre Brotli-Bibliotheken noch nicht auf den aktuellen Stand gebracht haben. Spätestens seit Anfang dieser Woche ist bekannt, dass es bei der Schwachstelle nicht nur um Node.js geht, sondern eigentlich alles betroffen ist, wo Brotli-Bibliotheken zum Dekodieren des Kompressionsformats eingesetzt werden. Daher bekam die zunächst „node2shell“ getaufte Lücke den neuen augenzwinkernden Namen „Broccoli2Shell“. Nicht authentifizierte Angreifer aus dem Netz können die Schwachstelle CVE-2026-111497 (CVSS4 9.2, Risiko „kritisch“) mit manipulierten Datenströmen missbrauchen, um beispielsweise Schadcode einzuschleusen. Laut CISA machen sie das inzwischen auch. IT-Verantwortliche sollten daher nochmals prüfen, ob sie verwundbare Brotli-Bibliotheken (1.0.3 bis 1.2.0) einsetzen. In diesem Fall sollten sie diese auf die fehlerbereinigten Stände 1.0.10, 1.1.1 oder 1.2.1 bringen, die Systeme als kompromittiert betrachten und entsprechend behandeln. Zu Art und Umfang der Angriffe äußert sich die CISA nicht; die Maßnahmen sind dennoch dringend zu empfehlen.

Das IT-Sicherheitsunternehmen Rapid7 hat seinen Bericht zur Bedrohungslandschaft im dritten Quartal dieses Jahres veröffentlicht. Eine der hervorstechenden Erkenntnisse daraus ist, dass schwerwiegende Sicherheitslücken im Schnitt inzwischen drei Tage nach ihrer Bekanntgabe mit Angriffsversuchen überzogen werden. 71 Prozent der beobachteten Exploit-Versuche fanden innerhalb der ersten sieben Tage nach Veröffentlichung statt. IT-Verantwortliche müssen daher inzwischen sehr schnell beim Patchmanagement sein.

(dmk)