Amerykańska agencja CISA umieściła podatność Node2Shell (CVE-2026-111497) na liście aktywnie wykorzystywanych luk (KEV). Problem dotyczy biblioteki Brotli opracowanej przez Google, a konkretnie błędu typu out-of-bounds write w dekoderze. Luka występuje w wersjach od 1.0.3 do 1.2.0 i pozwala atakującemu na doprowadzenie do awarii aplikacji, wyciek pamięci lub zdalne wykonanie kodu (RCE).
Eksperci z firm Previdian oraz ELLIO potwierdzili odnotowanie prób ataku na honeypoty. W jednym przypadku wykryto próby masowego skanowania i wykorzystania publicznie dostępnego kodu PoC. Choć jedna z prób zakończyła się niepowodzeniem z powodu wadliwego exploita, badacze ostrzegają, że napastnicy szybko adaptują tę technikę do masowych operacji.
Podatność dotyka szerokiego spektrum oprogramowania, w tym Node.js, pakietów Python, środowisk Bun, Envoy oraz Istio. Poprawki zostały już wydane przez Google, Microsoft oraz Node.js. Problemem dotknięte są również rozwiązania od Palo Alto Networks oraz produkty Broadcom (SDDC Manager i vSphere Foundation), gdzie błąd oceniany jest jako krytyczny z wynikiem CVSS 9.8.
