Kritická zranitelnost CVE-2026-111497 v knihovně Brotli umožňuje spuštění kódu a je zneužívána

CVE v události 10

Hodnocení z katalogů, všechna, se stupnicí CVSS a vydavatelem. Rozpad vektoru je na stránce CVE. Advisory v textu uvádí CVSS 9.8.

Jak se o tom psalo 24

1. 29. 10. 2026 · zachyceno 04:30 · NCSC-FI FI

   Kritická zranitelnost vzdáleného spuštění kódu v SDDC Manageru

   Bezpečnostní upozornění informuje o kritické zranitelnosti CVE-2026-111497 v komponentě SDDC Manager v rámci VMware Cloud Foundation. Chyba v Brotli dekodéru knihovny Node.js umožňuje útočníkovi se síťovým přístupem vzdálené spuštění libovolného kódu, přičemž společnost Broadcom doporučuje aplikovat dostupné záplaty nebo dočasná řešení.

   originál: VMSA-2026-0008: Node.js Brotli decoder out-of-bounds write remote code execution vulnerability (CVE-2026-111497)

2. 28. 10. 2026 13:46 · Cyber Centre Kanada CA

   Kritická zranitelnost v Google Brotli umožňuje spuštění kódu

   Kanadské centrum pro kybernetickou bezpečnost varuje před kritickou zranitelností CVE-2026-111497 v knihovně Google Brotli, známou jako Broccoli2Shell. Chyba typu out-of-bounds write umožňuje neautentizovanému útočníkovi vyvolat pád procesu nebo vzdáleně spustit libovolný kód, přičemž CISA ji zařadila na seznam aktivně zneužívaných zranitelností.

   originál: AL26-027 - Critical vulnerability impacting Google Brotli – CVE-2026-111497

3. 28. 10. 2026 12:45 · CERT-SE SE

   Kritická zranitelnost v Google Brotli

   V Google Brotli byla zveřejněna kritická zranitelnost CVE-2026-111497 s hodnocením CVSS 9.2. Neověřený vzdálený útočník může podle zdroje způsobit přetížení systému nebo potenciálně spustit libovolný kód.

   originál: Kritisk sårbarhet i Google Brotli

4. 28. 10. 2026 11:46 · BleepingComputer US

   CISA varuje před aktivním zneužíváním kritické chyby Node2Shell

   Americká agentura CISA potvrdila, že útočníci začali aktivně zneužívat kritickou zranitelnost v knihovně Brotli. Tato chyba je známá pod označeními Node2Shell, Broccoli2Shell a HTTP2Shell.

   originál: CISA warns of hackers now exploiting critical Node2Shell flaw

5. 28. 10. 2026 · zachyceno 04:00 · NCSC-FI FI

   Aktualizované verze PHP pro Windows opravují chybu v knihovně Brotli

   Tým PHP vydal aktualizované balíčky pro Windows ve verzích 8.5.12-1, 8.4.27-1, 8.3.36-1 a 8.2.35-1, které obsahují Brotli 1.2.1. Tato verze opravuje kritickou zranitelnost CVE-2026-111497 (CVSS 9.2) spočívající v zápisu mimo vyhrazenou paměť při dekompresi. K chybě může dojít prostřednictvím rozšíření cURL, pokud je v aplikacích povolena automatická dekomprese HTTP odpovědí.

   originál: 26 Oct 2026 Updated PHP Windows builds for Brotli security fix

6. 28. 10. 2026 · zachyceno 17:00 · Sophos Threat Research GB

   Zranitelnost Node2Shell (CVE-2026-111497) je aktivně zneužívána

   Bezpečnostní výzkumníci ze společnosti Sophos informují o aktivním zneužívání zranitelnosti Node2Shell evidované pod označením CVE-2026-111497. Bližší podrobnosti v předloženém textu nejsou uvedeny.

   originál: Node2Shell (CVE-2026-111497) in active exploitation

7. 27. 10. 2026 · zachyceno 04:30 · NCSC-FI FI

   Dopad zranitelnosti knihovny Brotli na produkty Palo Alto Networks

   Podle zdroje umožňuje kritická chyba přetečení vyrovnávací paměti v knihovně Google Brotli vzdálené spuštění kódu nebo DoS. Palo Alto Networks vyšetřuje dopad na své portfolio a uvádí, že zranitelnost postihuje vybrané verze systémů PAN-OS a Prisma Cloud, přičemž aktivní zneužívání zatím nezaznamenala.

   originál: CVE-2026-111497 Portfolio Status: Impact of Brotli Vulnerability (CVE-2026-111497) on Palo Alto Networks Products

8. 27. 10. 2026 · zachyceno 04:30 · NCSC-FI FI

   Fortinet vyšetřuje dopad zranitelností v Node.js na své produkty

   Společnost Fortinet prověřuje dopad série kritických zranitelností v Node.js na své produkty, přičemž zkoumá systém FortiOS. U řady dalších produktů, jako jsou FortiManager nebo FortiAnalyzer, výrobce potvrdil, že zasaženy nejsou.

   originál: Fortinet: Multiple Node.js CVEs being investigated

9. 27. 10. 2026 · zachyceno 04:30 · NCSC-FI FI

   Google: Zranitelnost přetečení vyrovnávací paměti v dekodéru Brotli

   Microsoft vydal mimořádné bezpečnostní aktualizace pro .NET řešící kritickou zranitelnost CVE-2026-111497, známou též jako Broccoli2Shell, Node2Shell či HTTP2Shell. Tato chyba typu out-of-bounds write se nachází v dekodéru bezeztrátového kompresního algoritmu Brotli od společnosti Google a Microsoft doporučuje co nejrychlejší aktualizaci.

   originál: Google: CVE-2026-111497 Buffer overflow vulnerability in the Brotli decoder

10. 27. 10. 2026 02:19 · Tenable Research US

    Brotli2Shell: Přehled zranitelnosti v knihovně Google Brotli (CVE-2026-111497)

    Zranitelnost CVE-2026-111497 typu 'out-of-bounds write' v dekodéru Google Brotli umožňuje vzdálené spuštění kódu nebo pád procesu při dekomprimaci útočníkem podvržených dat. Chyba zasahuje Node.js, .NET, Bun, Envoy Proxy i řadu dalších aplikací a jsou pro ni dostupné veřejné exploity. Společnost ELLIO navíc zaznamenala pokus o zneužití v praxi cílící na Node.js. Výrobci a projekty již začali vydávat opravné verze.

    originál: Brotli2Shell: Frequently asked questions for Google Brotli decoder vulnerability (CVE-2026-111497)

11. 27. 10. 2026 · zachyceno 21:00 · CISA KEV US

    CISA zařadila na seznam zneužívaných zranitelností chybu v Google Brotli

    Agentura CISA přidala zranitelnost CVE-2026-111497 v softwaru Google Brotli do svého katalogu aktivně zneužívaných chyb. Termín pro zjednání nápravy byl stanoven na 10. listopadu 2026.

    originál: Google Brotli Unchecked Return Value Vulnerability (CVE-2026-111497)

12. 27. 10. 2026 · zachyceno 17:00 · CERT-FR – avis FR

    Zranitelnost v produktech Palo Alto Networks

    CERT-FR informuje o zranitelnosti v produktech Palo Alto Networks. Podle oznámení umožňuje útočníkovi vzdálené spuštění libovolného kódu, vzdálené odepření služby a narušení důvěrnosti dat.

    originál: Vulnérabilité dans les produits Palo Alto Networks (27 octobre 2026)

13. 26. 10. 2026 19:45 · Palo Alto PSIRT US

    Dopad kritické zranitelnosti v Brotli na produkty Palo Alto Networks

    Palo Alto Networks vydalo bezpečnostní upozornění k dopadu kritické zranitelnosti CVE-2026-111497 v knihovně Brotli na své portfolio produktů.

    originál: CVE-2026-111497 Portfolio Status: Impact of Brotli Vulnerability (CVE-2026-111497) on Palo Alto Networks Products (Severity: CRITICAL)

14. 26. 10. 2026 17:27 · BleepingComputer US

    Kritická zranitelnost HTTP2Shell v knihovně Brotli vyvolala mimořádné opravy

    Kritická zranitelnost označená jako 'HTTP2Shell' v knihovně dekodéru Brotli implementované v Node.js může podle zjištění útočníkům umožnit poškození paměti a přístup k citlivým datům. V reakci na tuto chybu byly vydány mimořádné opravy.

    originál: Critical 'HTTP2Shell' Brotli vulnerability triggers emergency patches

15. 26. 10. 2026 16:38 · BleepingComputer US

    Microsoft vydal mimořádné opravy .NET pro kritickou chybu v Brotli

    Společnost Microsoft vydala mimořádné bezpečnostní aktualizace pro .NET, které opravují kritickou zranitelnost známou jako Broccoli2Shell. Chyba je podle zdroje sledována také pod označeními Node2Shell a HTTP2Shell.

    originál: Microsoft releases emergency .NET patches for critical Brotli flaw

16. 26. 10. 2026 15:07 · Cyber Centre Kanada CA

    Bezpečnostní upozornění pro Google Brotli

    Kanadské kybernetické centrum informovalo o zranitelnosti v knihovně Brotli od společnosti Google. Zasaženy jsou verze od 1.0.3 do verzí před v1.0.10, od 1.1.0 do verzí před v1.1.1 a od 1.2.0 do verzí před v1.2.1.

    originál: Google security advisory (AV26-1085)

17. 26. 10. 2026 14:10 · CSIRT Itálie (ACN) IT

    Google Brotli: dostupný PoC pro zneužití zranitelnosti CVE-2026-111497

    Podle CSIRT Itálie je k dispozici funkční koncept (PoC) pro zneužití zranitelnosti CVE-2026-111497 v dekodéru open-source knihovny Google Brotli. Tato knihovna pro kompresi a dekompresi webového obsahu je integrována v řadě softwarových produktů a frameworků včetně Node.js, DuckDB, Apache Arrow, .NET či knihoven pro Python.

    originál: Google: disponibile PoC per lo sfruttamento della CVE-2026-111497

18. 26. 10. 2026 13:18 · CSIRT.CZ (CZ.NIC) CZ

    Kritická zranitelnost Broccoli2Shell v kompresní knihovně Brotli

    V kompresní knihovně Brotli byla nalezena kritická zranitelnost s označením Broccoli2Shell (CVE-2026-111497, CVSS 9,2), která neautentizovanému útočníkovi umožňuje vzdálené spuštění kódu zpracováním upravených dat. Chyba se týká verzí od 1.0.3 do 1.2.0 a opravena byla ve verzích 1.0.10, 1.1.1 a 1.2.1.

    originál: Kritická zranitelnost Broccoli2Shell ohrožuje aplikace využívající HTTP

19. 26. 10. 2026 · zachyceno 18:00 · Fortinet PSIRT US

    Mnohočetné zranitelnosti v Node.js

    Bezpečnostní oznámení upozorňuje na řadu zranitelností v Node.js verzí 26.x, 24.x a 22.x s nejvyšším skóre CVSSv3 9.8. Mezi nimi je i chyba CVE-2026-111497 v dekodéru Brotli způsobující zápis mimo meze, což umožňuje vzdálené spuštění kódu.

    originál: Multiple Node.js CVEs

20. 26. 10. 2026 · zachyceno 17:30 · CERT-FR – avis FR

    Zranitelnost v produktech Microsoft

    V produktech společnosti Microsoft byla odhalena zranitelnost, která útočníkovi umožňuje navýšit oprávnění.

    originál: Vulnérabilité dans les produits Microsoft (26 octobre 2026)

21. 23. 10. 2026 22:45 · Aikido Security BE

    Balíčky pro Python jsou také zranitelné chybou Node2Shell v knihovně Brotli

    Podle společnosti Aikido Security ovlivňuje zranitelnost CVE-2026-111497 v knihovně Brotli, známá z útoku Node2Shell, také aplikace v Pythonu s nainstalovanými balíčky 'Brotli' nebo 'brotlicffi'. Zdroj doporučuje zkontrolovat používané verze a přejít na opravená vydání.

    originál: Python packages are also vulnerable to the Node2Shell Brotli flaw (CVE-2026-111497)

22. 23. 10. 2026 14:58 · Qualys US

    Node.js opravuje chybu vzdáleného spuštění kódu v dekodéru Brotli a další zranitelnosti

    Node.js vydal opravy deseti zranitelností v podporovaných řadách 22.x, 24.x a 26.x, z nichž čtyři mají vysokou závažnost. Nejvážnější chybou je CVE-2026-111497 v modulu Brotli umožňující vzdálené spuštění kódu, další závažné chyby oslabují ověřování certifikátů a doménových jmen. Podle bezpečnostního týmu neexistují náhradní řešení a oprava vyžaduje aktualizaci samotného běhového prostředí na verze 22.23.4, 24.22.1 nebo 26.12.1.

    originál: Node.js Patches Brotli Remote Code Execution Flaw: Find Vulnerable Runtimes Before Attackers Do

23. 23. 10. 2026 11:55 · NCSC-NL NL

    Zranitelnost v dekompresní knihovně Google Brotli

    Podle NCSC-NL opravila společnost Google zranitelnost v knihovně Brotli, kterou využívá mimo jiné prostředí Node.js. Neautentizovaný útočník může vzdáleně podvrhnout upravená komprimovaná data a způsobit odmítnutí služby, získat přístup k citlivým datům z paměti nebo spustit libovolný kód.

    originál: NCSC-2026-0453 [1.00] [M/H] Kwetsbaarheid in Google Brotli-decoder

24. 22. 10. 2026 20:11 · Aikido Security BE

    Node2Shell: Chyba v Brotli pro Node.js umožňuje vzdálené spuštění kódu

    Podle bezpečnostních výzkumníků umožňuje zranitelnost CVE-2026-111497 (označovaná jako Node2Shell) v implementaci Brotli pro Node.js vzdálené spuštění kódu. Zdroj přináší přehled zasažených subjektů, opravených verzí a detailů nápravy.

    originál: Node2Shell: Node.js Brotli vulnerability allows remote code execution (CVE-2026-111497)