HTTP2Shell-fel i Brotli får stora mjukvaruprojekt att släppa patchar

Teknikföretag och mjukvaruprojekt har släppt patchar för HTTP2Shell, en kritisk sårbarhet i Brotli, Googles komprimeringsalgoritm med öppen källkod. Felet spåras som CVE-2026-111497 och har fått allvarlighetsgraden 9,2 av 10.

Felet kallas även Node2Shell och Broccoli2Shell. Det är en skrivning utanför tilldelat minne som kan orsaka en buffertöverskridning. National Vulnerability Database uppger att sårbarheten kan leda till att minne röjs, överbelastningsattacker eller, i vissa fall, fjärrkörning av kod. Brotli används för att komprimera webbsvar. Program som kan vara berörda är bland annat Node.js, Bun, Envoy-installationer och Python-paket som brotlicffi. Även HTTP-klienter som Requests, urllib3, httpx och aiohttp kan påverkas.

Google släppte rättningar i Brotli-versionerna 1.0.10, 1.1.1 och 1.2.1 den 21 oktober 2026. Node.js släppte också en patch samma dag. Microsoft gav ut en akutuppdatering för .NET under helgen och uppgav att ett lyckat angrepp kan leda till utökade behörigheter. Enligt BleepingComputer blev PyPI-paket med rättningarna tillgängliga den 23 oktober. En uppdatering av Brotli räcker inte nödvändigtvis för att skydda program som innehåller sårbara versioner.

Webbplatsen Broccoli2Shell.com uppger att ett offentligt proof of concept publicerades på GitHub den 22 oktober 2026, men att det ännu inte fanns rapporter om skadliga angrepp i det vilda. Enligt webbplatsen uppges proof of concept-koden bara kunna köra kod på en avsiktligt försvagad version. På standardversioner orsakar den en krasch och begränsad minnesläsning.