Die Brotli-Lücke "Broccoli2Shell" wird bereits angegriffen. Auch in Adobe Commerce und dem Open-Source-Ableger Magento nutzen Angreifer eine Schwachstelle aus. Die US-Behörde CISA hat beide Fälle in ihren Katalog der Known Exploited Vulnerabilities aufgenommen.
Adobe Commerce und Magento
Shop-Betreiber sollten prüfen, ob sie Updates vom Juli 2026 oder neuer installiert haben. Die ausgenutzte Lücke (CVE-2026-48356, CVSS 9.3, kritisch) erlaubt den unbeschränkten Upload von Dateien mit gefährlichen Typen. Dadurch lässt sich Code im Kontext des aktuellen Nutzerkontos ausführen. Angreifer können das außerdem nutzen, um Rechte auszuweiten oder Konten und Sitzungen zu übernehmen. Opfer müssen laut Adobe dafür eine bösartige URL aufrufen oder mit einer kompromittierten Website interagieren.
Die CISA nennt keine Details zu den Angriffen. Das Sicherheitsunternehmen Sansec hat aber eine Kampagne analysiert: Die Gruppe hat seit Juli 2025 mindestens 953 Shops kompromittiert, überwiegend auf Magento-Basis. Im März nutzte sie dafür die "PolyShell" genannte Lücke, um Webshells hochzuladen.
Brotli wird zu Broccoli2Shell
Zunächst hieß die Lücke "node2shell". Seit Anfang der Woche ist klar, dass nicht nur Node.js betroffen ist, sondern alles, was Brotli-Bibliotheken zum Dekodieren des Kompressionsformats einsetzt. Deshalb bekam sie den augenzwinkernden neuen Namen "Broccoli2Shell".
Unauthentifizierte Angreifer können CVE-2026-111497 (CVSS 4.0: 9.2, kritisch) mit manipulierten Datenströmen ausnutzen, um zum Beispiel Schadcode einzuschleusen. Laut CISA passiert das inzwischen auch. Betroffen sind die Brotli-Versionen 1.0.3 bis 1.2.0. Die fehlerbereinigten Stände sind 1.0.10, 1.1.1 und 1.2.1. Wer verwundbare Bibliotheken findet, sollte sie aktualisieren und die betroffenen Systeme als kompromittiert behandeln. Zu Art und Umfang der Angriffe schweigt die CISA, die Maßnahmen sind trotzdem dringend.
Wenig Zeit zum Patchen
Passend dazu hat Rapid7 seinen Bedrohungsbericht für das dritte Quartal veröffentlicht. Schwere Sicherheitslücken werden demnach im Schnitt schon drei Tage nach ihrer Bekanntgabe angegriffen, und 71 Prozent der beobachteten Exploit-Versuche fanden in den ersten sieben Tagen statt. Wer Patches liegen lässt, spielt also auf Zeit, die er nicht hat.