Les organisations qui utilisent des logiciels de décodage Brotli vulnérables sont exposées à une faille activement exploitée, susceptible de divulguer des données en mémoire, de perturber des services ou, potentiellement, de permettre l'exécution de code à distance. L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté la vulnérabilité CVE-2026-111497, également appelée Node2Shell, à son catalogue des vulnérabilités connues et exploitées le 27 octobre 2026.
L'alerte de la CISA établit que l'exploitation a bel et bien eu lieu, mais ne précise ni la date de début des attaques, ni les victimes, ni ce que les attaquants ont réussi à accomplir. Elle décrit le problème comme une vulnérabilité liée à une valeur de retour non vérifiée dans Google Brotli.
L'exposition ne se limite pas à Node.js, où la faille a été identifiée pour la première fois, selon le rapport de BleepingComputer du 28 octobre. Les serveurs et clients HTTP sont également touchés lorsqu'ils dépendent d'implémentations Brotli vulnérables. La vulnérabilité, de gravité critique, est aussi appelée Broccoli2Shell et HTTP2Shell.
Brotli compresse les données sans perte d'information ; le décodage restitue ces données pour leur utilisation. BleepingComputer décrit une écriture hors limites dans le décodeur, c'est-à-dire une écriture susceptible de dépasser la zone mémoire qui lui est destinée. Selon la description de la CISA citée par la publication, un attaquant distant n'a pas besoin d'authentification pour soumettre un flux compressé en Brotli forgé, capable de corrompre la mémoire d'état adjacente du décodeur. Les issues possibles comprennent la divulgation de mémoire sensible, le déni de service et l'exécution de code arbitraire. La confirmation de l'exploitation active ne permet pas de savoir laquelle de ces issues s'est produite dans les attaques observées.
Le même rapport indique que Microsoft a publié dimanche une mise à jour de sécurité d'urgence pour .NET, qui met en garde contre une possible élévation de privilèges sur les systèmes exécutant une version vulnérable de .NET.
Correctifs et mesures temporaires
BleepingComputer indique une échéance de correction au 10 novembre pour les agences fédérales. La CISA précise que la directive « Binding Operational Directive 26-04 » s'applique aux agences civiles du pouvoir exécutif fédéral (Federal Civilian Executive Branch). Son alerte décrit l'obligation de traiter en priorité les vulnérabilités à haut risque du catalogue sur les actifs exposés publiquement, lorsque leur exploitation confère un contrôle total, ainsi que l'attente de vérifier si une compromission a précédé l'application du correctif. La CISA encourage également les autres organisations à donner la priorité à la correction des vulnérabilités du catalogue.
Pour les systèmes qui ne peuvent pas encore être mis à jour, BleepingComputer recommande de désactiver temporairement le décodage Brotli ou de bloquer, au niveau d'un proxy ou d'un pare-feu, les requêtes entrantes compressées en Brotli. Ses recommandations prévoient aussi de redémarrer les processus concernés après l'installation des mises à jour, puis de reconstruire et de redéployer les images de conteneurs touchées.
