Anwendungen, die Bun >= 1.0.21, < 1.4.4 einsetzen, sind von einer Schwachstelle beim Schreiben in den Speicher im mitgelieferten Google-Brotli-Decoder betroffen. Abhilfe schafft die Installation von 1.4.4 sowie das Neuerstellen von Programmen, die mit bun build --compile erzeugt wurden. Diese Binärdateien enthalten eine eigene Laufzeitumgebung, sodass allein ein Update der installierten Bun-Version sie nicht behebt.
Die Schwachstelle CVE-2026-111497 hat außerdem gemeldete Ausnutzungsversuche ausgelöst. In seinem Bericht vom 28. Oktober von Security Affairs hieß es, Previdian habe bis zum 27. Oktober einen Versuch verzeichnet, und Forscher von ELLIO hätten Datenverkehr beobachtet, der einen öffentlichen Exploit enthielt, mit dem sich Code auf verwundbaren Systemen ausführen lässt. Das Ausmaß dieser Aktivität ist unklar, und die Beobachtungen belegen nicht, dass Angreifer Bun erfolgreich ausgenutzt haben.
Wann Bun den verwundbaren Decoder erreicht
Die am 23. Oktober veröffentlichte Warnmeldung von Bun beschreibt einen Schreibzugriff außerhalb der Grenzen in der Brotli-Bibliothek: Die Dekomprimierung komprimierter Daten, die ein Angreifer kontrolliert, kann Schreibvorgänge außerhalb des vorgesehenen Speicherpuffers auslösen. Als betroffen nennt sie Brotli 1.0.3 bis 1.2.0, mit zwei Ausnahmen, den korrigierten Versionen 1.0.10 und 1.1.1. Bun 1.4.3 enthält Brotli 1.2.0, Bun 1.4.4 wechselt zur korrigierten Version 1.2.1.
Eine Anwendung muss keinen Dekomprimierungsdienst für bösartige Daten anbieten, um die Bibliothek zu erreichen. Die fetch-Funktion von Bun sendet standardmäßig Accept-Encoding: gzip, deflate, br, zstd und dekodiert danach Antworten mit Content-Encoding: br automatisch. Ein bösartiger Server, den die Anwendung kontaktiert, kann den Decoder auf diesem Weg mit Daten versorgen. Auch wer sich im Netzwerkpfad befindet, kann dies tun, wenn die Verbindung unverschlüsselt ist.
Anwendungen können denselben Decoder über node:zlib erreichen, darunter brotliDecompress, brotliDecompressSync und createBrotliDecompress, oder über DecompressionStream mit dem Format brotli. Voraussetzung ist, dass vom Angreifer gelieferte Brotli-Daten eine betroffene Schnittstelle erreichen.
Bun führt die Einschätzung zur Remote Code Execution auf das Brotli-Projekt zurück. Dessen Betreuer geben an, sie hätten keinen Angriff auf Bun getestet und könnten nicht feststellen, ob die Auswirkungen denen in anderer Software entsprechen. Dennoch raten sie, die Schwachstelle als Risiko für Remote Code Execution zu behandeln. Die Warnmeldung stuft sie als High ein. Diese Schweregradbewertung ist getrennt von Belegen für eine Ausnutzung zu sehen.
Für Installationen, die auf ein Update warten, beschreibt Bun begrenzte Maßnahmen statt einer prozessweiten Umgehungslösung. Bei einer bestimmten fetch-Anfrage unterdrückt decompress: false den Header Accept-Encoding: br und deaktiviert die Dekomprimierung der Antwort. Andere Aufrufe sind davon nicht betroffen. Die Warnmeldung weist Anwendungen außerdem an, nicht vertrauenswürdige Daten von den Brotli-Schnittstellen in node:zlib und DecompressionStream fernzuhalten. Mit dem aktualisierten Decoder führen ungültige Daten zu BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH.
Bericht über den US-Bundeskatalog braucht Einordnung
Security Affairs berichtete außerdem, die CISA habe CVE-2026-111497 und CVE-2026-48356 in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen. CVE-2026-48356 ist eine Schwachstelle für unbeschränkte Datei-Uploads in Adobe Commerce und Magento, bekannt als PolyShell. Als Frist für die Behebung auf Bundesebene nannte der Bericht den 29. Oktober 2026.
Die Warnmeldung der CISA vom 26. Oktober nennt andere Einträge: CVE-2026-109618, die eine Speicherbeschädigung in PHP betrifft, und CVE-2026-109619, die einen veralteten internen Anfragezustand in PHP betrifft. Diese Mitteilung bestätigt weder die gemeldeten Aufnahmen von Brotli oder Adobe noch die Frist vom 29. Oktober. Die CISA verweist auf die Binding Operational Directive 26-04, die für Behörden der zivilen Exekutive des Bundes (Federal Civilian Executive Branch) gilt, und ermutigt andere Organisationen, die Behebung nach Risiko zu priorisieren.
Zu PolyShell gab Security Affairs den Befund von Sansec weiter, dass Angriffe mindestens 953 Online-Shops infiziert hatten. Dem gemeldeten Ablauf zufolge enthielt ein Magento-CMS-Block einen bösartigen Loader, der eine vom Angreifer gehostete Nutzlast abrufen und ausführen konnte. Die Forscher hatten diese nachfolgende Nutzlast nicht sichergestellt, sodass der letztliche Zweck der Kampagne unklar bleibt. Der Bericht beschreibt die Aktivität als andauernd und geht davon aus, dass sie vermutlich bis mindestens Juli 2025 zurückreicht.
