Le organizzazioni che usano software di decodifica Brotli vulnerabile affrontano una falla sfruttata attivamente, che può esporre la memoria, interrompere i servizi o, potenzialmente, consentire l'esecuzione remota di codice. L'agenzia statunitense per la cybersicurezza e la sicurezza delle infrastrutture (CISA) ha aggiunto la CVE-2026-111497, nota anche come Node2Shell, al proprio catalogo delle Known Exploited Vulnerabilities il 27 ottobre 2026.
L'avviso della CISA stabilisce che lo sfruttamento c'è stato, ma non indica la data di inizio dell'attacco, i dettagli sulle vittime né ciò che gli aggressori sono riusciti a ottenere. Il problema è identificato come una vulnerabilità di valore di ritorno non controllato in Google Brotli.
L'esposizione va oltre Node.js, dove la falla è stata identificata per la prima volta, secondo il report di BleepingComputer del 28 ottobre. Anche i server e i client HTTP sono interessati quando dipendono da implementazioni Brotli vulnerabili. La vulnerabilità, di gravità critica, è chiamata anche Broccoli2Shell e HTTP2Shell.
Brotli comprime i dati senza perdita di informazioni; la decodifica ripristina quei dati per poterli usare. BleepingComputer descrive una scrittura fuori dai limiti (out-of-bounds write) nel decodificatore, cioè una scrittura che può raggiungere al di là dell'area di memoria prevista. Nella descrizione della CISA citata dalla testata, un attaccante remoto non ha bisogno di autenticazione per inviare un flusso compresso con Brotli appositamente costruito, che può corrompere la memoria dello stato adiacente del decodificatore. Tra gli esiti possibili figurano la divulgazione di memoria sensibile, la negazione del servizio e l'esecuzione arbitraria di codice. La conferma dello sfruttamento attivo non stabilisce quali di questi esiti si siano verificati negli attacchi osservati.
Lo stesso report riferisce che domenica Microsoft ha pubblicato un aggiornamento di sicurezza d'emergenza per .NET, avvertendo di una possibile escalation dei privilegi sui sistemi che eseguono una versione vulnerabile di .NET.
Rimedi e misure temporanee
BleepingComputer indica al 10 novembre la scadenza per la risoluzione da parte delle agenzie federali. La CISA specifica che la Binding Operational Directive 26-04 si applica alle agenzie del Federal Civilian Executive Branch. Il suo avviso descrive l'obbligo di dare priorità alle vulnerabilità catalogate ad alto rischio sugli asset esposti pubblicamente, dove lo sfruttamento garantisce il controllo totale, e l'aspettativa di verificare se una compromissione sia avvenuta prima dell'applicazione della patch. La CISA invita inoltre le altre organizzazioni a dare priorità alla risoluzione delle vulnerabilità catalogate.
Per i sistemi che non possono ancora essere aggiornati, BleepingComputer raccomanda di disattivare temporaneamente la decodifica Brotli oppure di bloccare le richieste in ingresso compresse con Brotli a livello di proxy o firewall. Le sue indicazioni prevedono anche il riavvio dei processi interessati dopo l'installazione degli aggiornamenti, nonché la ricostruzione e il nuovo deployment delle immagini dei container interessate.
