Уязвимост в Brotli – широко използваната библиотека за компресиране с отворен код на Google – излага на риск широк спектър от софтуерни решения.

За CVE-2026-111497

Известна още като „Node2Shell“, „Broccoli2Shell“ и „Brotli2Shell“, CVE-2026-111497 е дистанционно експлоатируем дефект от тип запис извън границите на буфера (out-of-bounds write), който привлече широко внимание, след като Node.js го оповести публично на 21 октомври 2026 г.

„Атакуващ, който успее да подаде Brotli данни, декомпресирани от приложение чрез node:zlib, може да повреди паметта на процеса, което да доведе до срив, разкриване на съдържанието на паметта или дистанционно изпълнение на код“, обясниха поддържащите Node.js и посочиха първоизточника на дефекта: декодера на Brotli.

Налични и предстоящи корекции за сигурност

Корекцията за CVE-2026-111497 беше добавена в хранилището google/brotli на 27 февруари 2026 г. без официална версия и без предупреждение за сигурност, като остана публично видима в продължение на осем месеца. Версиите на Brotli 1.2.1, 1.1.1 и 1.0.10, които съдържат корекцията, бяха публикувани едва миналата седмица.

Тъй като Brotli е вградена в Node.js, уязвимостта засяга клоновете на изданията на Node.js 26.x, 24.x и 22.x. Поддържащите Node.js отстраниха уязвимостта във версии 26.12.1, 24.22.1 и 22.23.4. (Версиите 20.x, 23.x и 25.x с изтекъл жизнен цикъл също са засегнати, но няма да получат обновяване.)

Но, както отбелязаха изследователите от Tenable, „всяко приложение, което декомпресира контролирани от атакуващ данни с уязвим Brotli декодер, е потенциално изложено на риск, включително Node.js, .NET, Bun, Envoy Proxy, Istio, Python HTTP клиенти, FFmpeg, Apache Arrow и ClickHouse.“

Разработчиците на повечето от тези проекти вече са обновили зависимостите и са предоставили коригирани версии. Различни Linux дистрибуции са издали или са в процес на издаване на пакети с корекция на уязвимостта.

От Aikido Security изброиха засегнатите среди за изпълнение и Brotli библиотеки и посъветваха: „Обновете заключените зависимости (dependency locks), прекомпилирайте засегнатите приложения и контейнерни образи, внедрете ги отново и рестартирайте услугите. Уверете се, че работещите работни натоварвания използват компоненти с инсталирани корекции за сигурност.“

Допълнителна информация относно наличните корекции може да бъде намерена на специализирания сайт Broccoli2Shell.

От Rapid7 отбелязаха, че засегнатите версии, експозицията по подразбиране и мерките за защита варират според продукта, както и че наличието на засегнат декодер не означава автоматично уязвимост, освен ако приложението не обработва контролирани от атакуващ Brotli данни.

„Организациите трябва да направят справка със съответните бюлетини за сигурност от дистрибуциите или доставчиците на софтуер, за да идентифицират засегнатите версии, да оценят експозицията и да определят подходящите мерки за отстраняване на проблема“, съветва компанията.

PoC и реални опити за експлоатация в интернет

В GitHub бяха публикувани примерни кодове за експлоатация (Proof-of-Concept) за CVE-2026-111497. Imperva демонстрира, че уязвимостта може да бъде експлоатирана за дистанционно изпълнение на код срещу официалния Node.js 24.22.0 Linux arm64 образ след няколко опита.

Компанията за анализ на киберзаплахи ELLIO съобщи в понеделник, че нейните сензори „са регистрирали трафик от реални експлоатационни атаки за CVE-2026-111497 в интернет, пренасящ публичния експлойт, който според нашите проверки осигурява шел достъп върху уязвими версии.“

Компанията посочва, че IP адресът 94.154.43.7, от който идват опитите за атака, по-рано е бил забелязан да пренася експлойти за PHP2Shell, както и че е участвал в сондиране на Palo Alto GlobalProtect и FortiOS SSL VPN, както и в сканиране на Kubernetes API и контейнерна оркестрация.

„Това показва, че възможността за отдалечено изпълнение на код (RCE) се използва от киберпрестъпник, насочен към масова експлоатация“, смятат експертите.