CISA añade fallos de Adobe Commerce y Brotli al KEV tras detectar explotación
CISA incorporó CVE-2026-48356 y CVE-2026-111497 al catálogo KEV. La alerta confirma explotación conocida, pero no identifica víctimas ni campañas.
CISA añadió el 27 de octubre dos vulnerabilidades al catálogo Known Exploited Vulnerabilities (KEV) después de registrar evidencia de explotación activa: CVE-2026-48356, ligada a Adobe Commerce y Magento, y CVE-2026-111497, en la biblioteca Brotli de Google. La actualización cambia la prioridad de ambos fallos: ya no hablamos solo de riesgo teórico o de una puntuación alta, sino de vulnerabilidades que CISA considera explotadas en el mundo real. El aviso no da nombres de víctimas, actores ni detalles de cómo se ejecutan los ataques.
La alerta tampoco dice que ambos fallos formen parte de la misma campaña. Que compartan fecha de alta no demuestra un vínculo operativo; CISA solo los incorpora juntos a su catálogo. La distinción importa porque los productos afectados, las condiciones de exposición y el trabajo de inventario son distintos. La etiqueta KEV es una señal para priorizar, no una lista de sistemas que ya hayan sido comprometidos.
La entrada de Adobe describe una carga de archivos peligrosos en Commerce y Magento Open Source. CVE-2026-48356 puede terminar en ejecución de código en el contexto de la aplicación, según las fichas del fabricante y CISA; Adobe asigna al vector una interacción de usuario, de modo que no conviene resumirla como ejecución remota automática contra cualquier tienda. El boletín de Adobe cubre Commerce, Commerce B2B, Magento Open Source y Commerce Events, con ramas y paquetes de corrección distintos. Los administradores deben comparar sus builds con la tabla del boletín, no guiarse solo por el número de versión principal.
-SecureCrew dice: una tienda que tiene “parche aplicado” en el ticket pero no en el nodo que sirve las cargas sigue teniendo una forma bastante cara de automatizar el autoengaño.-
En Brotli, CISA identifica una comprobación de retorno que puede dejar al decodificador en un estado inseguro al procesar una secuencia comprimida especialmente preparada. Brotli no es una aplicación única, sino una biblioteca que otras piezas pueden incorporar: servidores, runtimes, proxies y paquetes pueden llevarla directa o indirectamente. La actualización KEV no publica aquí una lista de todos esos consumidores ni versiones; la remediación tiene que partir del inventario real de dependencias y de los avisos de cada producto. CISA remite a los avisos de los fabricantes para la corrección; la fecha de alta tampoco ofrece una lista de todos los productos que empaquetan la biblioteca.
La línea temporal también evita una falsa contradicción. Adobe publicó su boletín en julio y entonces dijo que no conocía explotación activa; CISA añadió la CVE al KEV tres meses después, con evidencia posterior. Una declaración de “no conocemos exploits” describe lo que sabía el proveedor al publicar o actualizar su aviso, no invalida observaciones posteriores. Para Brotli, la entrada de CISA es igualmente una señal de explotación conocida; no aporta telemetría, volumen ni atribución que permita ir más lejos.
Qué revisar en el inventario
Para Commerce, Magento y B2B, comprueba la rama exacta, el paquete de seguridad instalado y si la corrección recomendada por Adobe está desplegada en todos los frontales y nodos de administración. La lista de versiones parcheadas no sustituye una comprobación de despliegue: una actualización descargada o aprobada no protege un servidor que sigue ejecutando el build anterior. Revisa también los procesos de carga que están expuestos a usuarios y confirma que los registros de acceso y cambios siguen disponibles por si hace falta reconstruir actividad.
Para Brotli, busca tanto la dependencia declarada como la transitiva y cruza el resultado con los avisos de los fabricantes que empaquetan la biblioteca. No desactives compresión a ciegas en producción: en firewalls o proxies puede afectar inspección, rendimiento o cobertura; aplica primero la mitigación específica del fabricante y registra qué componentes quedan pendientes. Si hay builds aún sin parche, prioriza los servicios expuestos y conserva datos de telemetría, pero no conviertas la alta en KEV en una afirmación de que tu organización fue atacada.
-SecureCrew dice: el inventario de dependencias suele tener más capas que el pastel de cumpleaños; por una vez, que nadie se salte la capa de Brotli.-
La directiva BOD 26-04 y la fecha límite del 10 de noviembre que acompaña a estas entradas son obligaciones para agencias civiles federales de Estados Unidos, no un plazo legal universal para todas las empresas. Para el resto, el KEV sigue siendo una señal sólida de priorización: confirmar exposición, aplicar la corrección disponible y documentar lo que todavía no se puede actualizar. La evidencia pública disponible permite afirmar explotación conocida de ambos fallos, no quién los explota ni cuántos sistemas han alcanzado.
Diccionario de la Crew
CVE — Identificador público asignado a una vulnerabilidad concreta.
KEV — Catálogo de CISA de vulnerabilidades para las que existe evidencia de explotación conocida.
Brotli — Formato y biblioteca de compresión usados por software para reducir el tamaño de los datos.
