W implementacji języka C biblioteki Brotli, opracowanej przez Google, wykryto krytyczną podatność o identyfikatorze CVE-2026-111497. Problem polega na błędzie podczas dekompresji danych przygotowanych przez napastnika, co prowadzi do uszkodzenia pamięci. Luka ta jest powiązana z terminami Node2Shell oraz HTTP2Shell.
Skutki wykorzystania tej podatności mogą być bardzo poważne: od przerw w działaniu usług (DoS), przez wyciek wrażliwych informacji z pamięci, aż po zdalne wykonanie dowolnego kodu przez atakującego. Choć obecnie nie potwierdzono masowych incydentów, organizacje takie jak JPCERT/CC zalecają badanie systemów pod kątem śladów kompromitacji.
Zagrożenie jest trudne do zdiagnozowania, ponieważ Brotli jest często ukrytym komponentem wielu aplikacji. Do produktów narażonych należą m.in. Node.js, Bun oraz pakiety Brotli dla języka Python. Wiele innych systemów i usług chmurowych może korzystać z tej biblioteki w sposób niejawny.
Aby zminimalizować ryzyko, należy zidentyfikować wszystkie systemy firmowe i skontaktować się z ich administratorami lub dostawcami. Kluczowe jest sprawdzenie, czy stosowane oprogramowanie korzysta z podatnej wersji i czy producent wydał odpowiednie poprawki.
