Microsoft hat Notfall-Sicherheitsupdates für eine kritische Brotli-Schwachstelle veröffentlicht, die .NET-Anwendungen betrifft, welche die Dekomprimierung ausdrücklich aktivieren. Die als CVE-2026-111497 geführte Lücke kann es einem nicht autorisierten Angreifer ermöglichen, über das Netzwerk seine Rechte auszuweiten. Das geht aus dem Advisory von Microsoft hervor, das am 25. Oktober 2026 veröffentlicht wurde.
Die Gefährdung hängt davon ab, wie eine Anwendung komprimierte Daten verarbeitet. Microsoft zufolge ist die Brotli-Dekomprimierung in Standardinstallationen von .NET und ASP.NET Core standardmäßig deaktiviert. Anwendungen müssen die Anfrage-Dekomprimierung in ASP.NET Core oder die Dekomprimierung von HttpClient-Antworten aktivieren oder die Brotli-Dekomprimierungs-APIs direkt aufrufen, um die betroffene Funktion zu nutzen.
Brotli ist ein verlustfreier Komprimierungsalgorithmus, den Google entwickelt hat. Die Schwachstelle betrifft einen Out-of-Bounds-Schreibzugriff in dessen Decoder, was bedeutet, dass die Dekomprimierung Daten außerhalb der vorgesehenen Speichergrenzen schreiben kann. BleepingComputer berichtete am 26. Oktober, dass Imperva Red Team die Lücke entdeckt hat, die auch als Broccoli2Shell, Node2Shell und HTTP2Shell bekannt ist.
Laut diesem Bericht kann ein speziell präparierter Brotli-komprimierter Datenstrom in Software mit anfälligen Brotli-Binärdateien oder -Bibliotheken Abstürze und Speicherlecks verursachen und unter bestimmten Umständen auch Remote Code Execution ermöglichen. Microsoft stuft die Auswirkung auf .NET als Rechteausweitung ein und bewertet die Schwachstelle als kritisch. Laut der Einschätzung von Microsoft erfordert die Ausnutzung keine vorherigen Berechtigungen oder Benutzerinteraktion, hat aber eine hohe Angriffskomplexität.
Updates und Gefährdung
BleepingComputer nennt die außerplanmäßigen Updates .NET 8.0.33, .NET 9.0.22 und .NET 10.0.14 sowie .NET 11 Release Candidate 3. Dem Bericht zufolge forderte Microsoft die Nutzer auf, so schnell wie möglich zu aktualisieren.
Wichtig ist auch der Unterschied zwischen Systembibliotheken und Abhängigkeiten von Anwendungen. Ein eigens dafür eingerichtetes Tracking-Portal, das BleepingComputer zitiert, warnt, dass das Aktualisieren der Brotli-Bibliothek eines Systems Anwendungen nicht repariert, die eine eigene Kopie mitliefern. Der Bericht rät Organisationen, die nicht sofort patchen können, eingehende Brotli-komprimierte Anfragen über einen Proxy oder eine Firewall zu blockieren oder die Brotli-Dekodierung zu deaktivieren, bis Updates eingespielt werden können.
Bei der ursprünglichen Veröffentlichung hat Microsofts Advisory zu CVE-2026-111497 die Schwachstelle als öffentlich bekannt gemacht, ohne dass eine Ausnutzung gemeldet wurde, und die Ausnutzung als wahrscheinlicher eingestuft. BleepingComputer berichtete später, dass auf GitHub Proof-of-Concept-Exploits aufgetaucht seien, und erklärte zugleich, dass keine Meldungen über bösartige Ausnutzung in freier Wildbahn vorlägen.
