Kritická zranitelnost v knihovně Google Brotli ohrožuje Node.js, .NET a další software

CVE v události 10

Hodnocení z katalogů, všechna, se stupnicí CVSS a vydavatelem. Rozpad vektoru je na stránce CVE. Advisory v textu uvádí CVSS 9.8.

Jak se o tom psalo 16

1. 27. 10. 2026 · zachyceno 04:30 · NCSC-FI FI

   Dopad zranitelnosti knihovny Brotli na produkty Palo Alto Networks

   Podle zdroje umožňuje kritická chyba přetečení vyrovnávací paměti v knihovně Google Brotli vzdálené spuštění kódu nebo DoS. Palo Alto Networks vyšetřuje dopad na své portfolio a uvádí, že zranitelnost postihuje vybrané verze systémů PAN-OS a Prisma Cloud, přičemž aktivní zneužívání zatím nezaznamenala.

   originál: CVE-2026-111497 Portfolio Status: Impact of Brotli Vulnerability (CVE-2026-111497) on Palo Alto Networks Products

2. 27. 10. 2026 · zachyceno 04:30 · NCSC-FI FI

   Fortinet vyšetřuje dopad zranitelností v Node.js na své produkty

   Společnost Fortinet prověřuje dopad série kritických zranitelností v Node.js na své produkty, přičemž zkoumá systém FortiOS. U řady dalších produktů, jako jsou FortiManager nebo FortiAnalyzer, výrobce potvrdil, že zasaženy nejsou.

   originál: Fortinet: Multiple Node.js CVEs being investigated

3. 27. 10. 2026 · zachyceno 04:30 · NCSC-FI FI

   Google: Zranitelnost přetečení vyrovnávací paměti v dekodéru Brotli

   Microsoft vydal mimořádné bezpečnostní aktualizace pro .NET řešící kritickou zranitelnost CVE-2026-111497, známou též jako Broccoli2Shell, Node2Shell či HTTP2Shell. Tato chyba typu out-of-bounds write se nachází v dekodéru bezeztrátového kompresního algoritmu Brotli od společnosti Google a Microsoft doporučuje co nejrychlejší aktualizaci.

   originál: Google: CVE-2026-111497 Buffer overflow vulnerability in the Brotli decoder

4. 27. 10. 2026 02:19 · Tenable Research US

   Brotli2Shell: Přehled zranitelnosti v knihovně Google Brotli (CVE-2026-111497)

   Zranitelnost CVE-2026-111497 typu 'out-of-bounds write' v dekodéru Google Brotli umožňuje vzdálené spuštění kódu nebo pád procesu při dekomprimaci útočníkem podvržených dat. Chyba zasahuje Node.js, .NET, Bun, Envoy Proxy i řadu dalších aplikací a jsou pro ni dostupné veřejné exploity. Společnost ELLIO navíc zaznamenala pokus o zneužití v praxi cílící na Node.js. Výrobci a projekty již začali vydávat opravné verze.

   originál: Brotli2Shell: Frequently asked questions for Google Brotli decoder vulnerability (CVE-2026-111497)

5. 26. 10. 2026 19:45 · Palo Alto PSIRT US

   Dopad kritické zranitelnosti v Brotli na produkty Palo Alto Networks

   Palo Alto Networks vydalo bezpečnostní upozornění k dopadu kritické zranitelnosti CVE-2026-111497 v knihovně Brotli na své portfolio produktů.

   originál: CVE-2026-111497 Portfolio Status: Impact of Brotli Vulnerability (CVE-2026-111497) on Palo Alto Networks Products (Severity: CRITICAL)

6. 26. 10. 2026 17:27 · BleepingComputer US

   Kritická zranitelnost HTTP2Shell v knihovně Brotli vyvolala mimořádné opravy

   Kritická zranitelnost označená jako 'HTTP2Shell' v knihovně dekodéru Brotli implementované v Node.js může podle zjištění útočníkům umožnit poškození paměti a přístup k citlivým datům. V reakci na tuto chybu byly vydány mimořádné opravy.

   originál: Critical 'HTTP2Shell' Brotli vulnerability triggers emergency patches

7. 26. 10. 2026 16:38 · BleepingComputer US

   Microsoft vydal mimořádné opravy .NET pro kritickou chybu v Brotli

   Společnost Microsoft vydala mimořádné bezpečnostní aktualizace pro .NET, které opravují kritickou zranitelnost známou jako Broccoli2Shell. Chyba je podle zdroje sledována také pod označeními Node2Shell a HTTP2Shell.

   originál: Microsoft releases emergency .NET patches for critical Brotli flaw

8. 26. 10. 2026 15:07 · Cyber Centre Kanada CA

   Bezpečnostní upozornění pro Google Brotli

   Kanadské kybernetické centrum informovalo o zranitelnosti v knihovně Brotli od společnosti Google. Zasaženy jsou verze od 1.0.3 do verzí před v1.0.10, od 1.1.0 do verzí před v1.1.1 a od 1.2.0 do verzí před v1.2.1.

   originál: Google security advisory (AV26-1085)

9. 26. 10. 2026 14:10 · CSIRT Itálie (ACN) IT

   Google Brotli: dostupný PoC pro zneužití zranitelnosti CVE-2026-111497

   Podle CSIRT Itálie je k dispozici funkční koncept (PoC) pro zneužití zranitelnosti CVE-2026-111497 v dekodéru open-source knihovny Google Brotli. Tato knihovna pro kompresi a dekompresi webového obsahu je integrována v řadě softwarových produktů a frameworků včetně Node.js, DuckDB, Apache Arrow, .NET či knihoven pro Python.

   originál: Google: disponibile PoC per lo sfruttamento della CVE-2026-111497

10. 26. 10. 2026 13:18 · CSIRT.CZ (CZ.NIC) CZ

    Kritická zranitelnost Broccoli2Shell v kompresní knihovně Brotli

    V kompresní knihovně Brotli byla nalezena kritická zranitelnost s označením Broccoli2Shell (CVE-2026-111497, CVSS 9,2), která neautentizovanému útočníkovi umožňuje vzdálené spuštění kódu zpracováním upravených dat. Chyba se týká verzí od 1.0.3 do 1.2.0 a opravena byla ve verzích 1.0.10, 1.1.1 a 1.2.1.

    originál: Kritická zranitelnost Broccoli2Shell ohrožuje aplikace využívající HTTP

11. 26. 10. 2026 · zachyceno 18:00 · Fortinet PSIRT US

    Mnohočetné zranitelnosti v Node.js

    Bezpečnostní oznámení upozorňuje na řadu zranitelností v Node.js verzí 26.x, 24.x a 22.x s nejvyšším skóre CVSSv3 9.8. Mezi nimi je i chyba CVE-2026-111497 v dekodéru Brotli způsobující zápis mimo meze, což umožňuje vzdálené spuštění kódu.

    originál: Multiple Node.js CVEs

12. 26. 10. 2026 · zachyceno 17:30 · CERT-FR – avis FR

    Zranitelnost v produktech Microsoft

    V produktech společnosti Microsoft byla odhalena zranitelnost, která útočníkovi umožňuje navýšit oprávnění.

    originál: Vulnérabilité dans les produits Microsoft (26 octobre 2026)

13. 23. 10. 2026 22:45 · Aikido Security BE

    Balíčky pro Python jsou také zranitelné chybou Node2Shell v knihovně Brotli

    Podle společnosti Aikido Security ovlivňuje zranitelnost CVE-2026-111497 v knihovně Brotli, známá z útoku Node2Shell, také aplikace v Pythonu s nainstalovanými balíčky 'Brotli' nebo 'brotlicffi'. Zdroj doporučuje zkontrolovat používané verze a přejít na opravená vydání.

    originál: Python packages are also vulnerable to the Node2Shell Brotli flaw (CVE-2026-111497)

14. 23. 10. 2026 14:58 · Qualys US

    Node.js opravuje chybu vzdáleného spuštění kódu v dekodéru Brotli a další zranitelnosti

    Node.js vydal opravy deseti zranitelností v podporovaných řadách 22.x, 24.x a 26.x, z nichž čtyři mají vysokou závažnost. Nejvážnější chybou je CVE-2026-111497 v modulu Brotli umožňující vzdálené spuštění kódu, další závažné chyby oslabují ověřování certifikátů a doménových jmen. Podle bezpečnostního týmu neexistují náhradní řešení a oprava vyžaduje aktualizaci samotného běhového prostředí na verze 22.23.4, 24.22.1 nebo 26.12.1.

    originál: Node.js Patches Brotli Remote Code Execution Flaw: Find Vulnerable Runtimes Before Attackers Do

15. 23. 10. 2026 11:55 · NCSC-NL NL

    Zranitelnost v dekompresní knihovně Google Brotli

    Podle NCSC-NL opravila společnost Google zranitelnost v knihovně Brotli, kterou využívá mimo jiné prostředí Node.js. Neautentizovaný útočník může vzdáleně podvrhnout upravená komprimovaná data a způsobit odmítnutí služby, získat přístup k citlivým datům z paměti nebo spustit libovolný kód.

    originál: NCSC-2026-0453 [1.00] [M/H] Kwetsbaarheid in Google Brotli-decoder

16. 22. 10. 2026 20:11 · Aikido Security BE

    Node2Shell: Chyba v Brotli pro Node.js umožňuje vzdálené spuštění kódu

    Podle bezpečnostních výzkumníků umožňuje zranitelnost CVE-2026-111497 (označovaná jako Node2Shell) v implementaci Brotli pro Node.js vzdálené spuštění kódu. Zdroj přináší přehled zasažených subjektů, opravených verzí a detailů nápravy.

    originál: Node2Shell: Node.js Brotli vulnerability allows remote code execution (CVE-2026-111497)