Microsoft ha rilasciato aggiornamenti di sicurezza d'emergenza per una vulnerabilità critica in Brotli che interessa le applicazioni .NET con la decompressione esplicitamente abilitata. La falla, identificata come CVE-2026-111497, può consentire a un attaccante non autorizzato di elevare i privilegi da rete, secondo l'avviso di Microsoft pubblicato il 25 ottobre 2026.
L'esposizione dipende da come un'applicazione gestisce i dati compressi. Secondo Microsoft, la decompressione Brotli è disabilitata per impostazione predefinita nelle installazioni standard di .NET e ASP.NET Core. Per usare la funzionalità interessata, le applicazioni devono abilitare la decompressione delle richieste di ASP.NET Core o la decompressione delle risposte di HttpClient, oppure richiamare direttamente le API di decompressione Brotli.
Brotli è un algoritmo di compressione senza perdita di dati sviluppato da Google. La vulnerabilità riguarda una scrittura fuori dai limiti (out-of-bounds write) nel decoder, il che significa che la decompressione può scrivere dati al di fuori dei confini di memoria previsti. BleepingComputer ha riportato il 26 ottobre che il team Red di Imperva ha scoperto la falla, nota anche come Broccoli2Shell, Node2Shell e HTTP2Shell.
Secondo quel resoconto, un flusso Brotli-compresso appositamente costruito può causare arresti anomali e perdite di memoria e, in alcune circostanze, esecuzione remota di codice nei software che usano binari o librerie Brotli vulnerabili. Microsoft classifica l'impatto su .NET come elevazione dei privilegi e valuta la vulnerabilità con gravità Critical. La valutazione indica che lo sfruttamento non richiede privilegi preesistenti né interazione dell'utente, ma ha una complessità di attacco elevata.
Aggiornamenti ed esposizione
BleepingComputer elenca gli aggiornamenti fuori banda come .NET 8.0.33, .NET 9.0.22 e .NET 10.0.14, insieme a .NET 11 Release Candidate 3. Il resoconto riferisce che Microsoft ha esortato gli utenti ad aggiornare il prima possibile.
Conta anche la distinzione tra librerie di sistema e dipendenze delle applicazioni. Un portale di monitoraggio dedicato, citato da BleepingComputer, avverte che aggiornare la libreria Brotli di sistema non corregge le applicazioni che includono una propria copia. Il resoconto consiglia alle organizzazioni che non possono applicare subito la patch di bloccare le richieste in ingresso compresse con Brotli tramite proxy o firewall, oppure di disabilitare la decodifica Brotli finché non è possibile installare gli aggiornamenti.
Alla pubblicazione originale, l'avviso di Microsoft per CVE-2026-111497 indicava la vulnerabilità come divulgata pubblicamente, senza sfruttamento segnalato, e valutava lo sfruttamento come più probabile. BleepingComputer ha successivamente riportato la comparsa su GitHub di exploit proof-of-concept, precisando però che non erano emerse segnalazioni di sfruttamento malevolo in ambienti reali.
