Organisationen, die anfällige Brotli-Decoding-Software einsetzen, sind mit einer aktiv ausgenutzten Schwachstelle konfrontiert. Sie kann Speicherinhalte offenlegen, Dienste stören oder unter Umständen die Ausführung von Code aus der Ferne ermöglichen. Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat CVE-2026-111497, auch unter dem Namen Node2Shell bekannt, am 27. Oktober 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen.
Die Warnung der CISA belegt, dass eine Ausnutzung stattgefunden hat. Sie nennt jedoch weder einen Beginn der Angriffe noch Angaben zu Betroffenen oder dazu, was die Angreifer erreicht haben. Als Ursache wird eine Schwachstelle durch einen ungeprüften Rückgabewert in Google Brotli angegeben.
Laut dem Bericht von BleepingComputer vom 28. Oktober geht das Problem über Node.js hinaus, wo die Schwachstelle zuerst festgestellt wurde. Auch HTTP-Server und -Clients sind betroffen, sofern sie auf anfällige Brotli-Implementierungen angewiesen sind. Die Schwachstelle mit kritischem Schweregrad wird außerdem als Broccoli2Shell und HTTP2Shell bezeichnet.
Brotli komprimiert Daten verlustfrei, und beim Dekodieren werden sie für die weitere Verwendung wiederhergestellt. BleepingComputer beschreibt einen Out-of-Bounds-Write im Decoder, also einen Schreibzugriff, der über den vorgesehenen Speicherbereich hinausreichen kann. Laut der Beschreibung der CISA, die das Portal zitiert, kann ein entfernter Angreifer ohne Authentifizierung einen präparierten, Brotli-komprimierten Datenstrom senden, der den angrenzenden Speicher mit dem Zustand des Decoders beschädigen kann. Mögliche Folgen sind die Offenlegung sensibler Speicherinhalte, Denial of Service und die Ausführung beliebigen Codes. Die Bestätigung einer aktiven Ausnutzung legt jedoch nicht fest, welche dieser Folgen bei den beobachteten Angriffen eingetreten sind.
Demselben Bericht zufolge hat Microsoft am Sonntag ein dringendes Sicherheitsupdate für .NET veröffentlicht. Es warnt vor einer möglichen Erweiterung von Rechten auf Systemen mit einer anfälligen .NET-Version.
Behebung und vorübergehende Maßnahmen
BleepingComputer nennt für Bundesbehörden eine Frist zur Behebung bis zum 10. November. Die CISA legt fest, dass die Binding Operational Directive 26-04 für Behörden der Federal Civilian Executive Branch gilt. Die Warnung beschreibt die Vorgabe, Schwachstellen aus dem Katalog mit hohem Risiko vorrangig zu behandeln, wenn sie öffentlich erreichbare Systeme betreffen und eine Ausnutzung die vollständige Kontrolle ermöglicht. Außerdem werden Erwartungen formuliert, zu prüfen, ob eine Kompromittierung vor dem Einspielen des Patches erfolgte. Die CISA empfiehlt auch anderen Organisationen, die Behebung katalogisierter Schwachstellen zu priorisieren.
Für Systeme, die sich noch nicht aktualisieren lassen, empfiehlt BleepingComputer, die Brotli-Dekodierung vorübergehend zu deaktivieren oder eingehende Brotli-komprimierte Anfragen an einem Proxy oder einer Firewall zu blockieren. Die Anleitung sieht zudem vor, betroffene Prozesse nach der Installation der Updates neu zu starten sowie betroffene Container-Images neu zu erstellen und erneut bereitzustellen.
