Falha no Brotli entra no catálogo de vulnerabilidades exploradas
A Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos (CISA) confirmou que invasores começaram a explorar uma vulnerabilidade crítica no Brotli, identificada como CVE-2026-111497. O problema também é referido como Node2Shell, Broccoli2Shell e HTTP2Shell.
Segundo a fonte, a vulnerabilidade decorre de uma escrita fora dos limites no decodificador Brotli, usado para expandir dados comprimidos. Um fluxo Brotli especialmente construído pode permitir que atacantes sem privilégios provoquem falhas ou vazamentos de memória e, em alguns casos, obtenham execução remota de código.
Escopo inclui Node.js e componentes HTTP
A falha foi identificada inicialmente no ambiente de execução JavaScript Node.js. Ela também afeta servidores e clientes HTTP que utilizam implementações vulneráveis do Brotli.
A Microsoft publicou uma atualização emergencial de segurança para .NET e alertou que atacantes poderiam explorar versões vulneráveis para elevar privilégios em sistemas afetados.
Prioridade para atualização e medidas temporárias
A CISA incluiu a vulnerabilidade em seu catálogo Known Exploited Vulnerabilities (KEV) e determinou que agências federais dos Estados Unidos corrijam os sistemas até 10 de novembro, no prazo de duas semanas. A diretriz BOD 26-04 se aplica apenas a órgãos federais.
Para organizações fora desse escopo, a recomendação editorial é tratar a atualização dos componentes afetados como prioridade operacional. Caso a atualização não possa ser aplicada imediatamente, a CISA orienta bloquear requisições recebidas comprimidas com Brotli no proxy ou firewall, ou desativar temporariamente a decodificação Brotli.
Após a aplicação das correções, administradores devem reiniciar os processos afetados e reconstruir e redistribuir imagens de contêiner impactadas.