Уязвимости Критическая уязвимость Broccoli2Shell в Brotli вызвала волну экстренных патчей

Специалисты Microsoft и PHP выпустили внеплановые обновления для исправления критической уязвимости CVE-2026-111497, недавно обнаруженной в декодере Brotli. Эту уязвимость уже успели окрестить Node2Shell, HTTPS2Shell, Broccoli2Shell и даже Brotlipocalypse, и ранее патчи уже вышли для Node.js, Bun, Python-пакетов, Envoy и Istio. Однако список ПО, затронутого этой проблемой, продолжает расти.


Как мы рассказывали ранее, Для просмотра ссылки Войди или Зарегистрируйся связана с out-of-bounds записью при обработке специально подготовленных Brotli-данных. Баг затрагивает разработанный специалистами компании Google алгоритм сжатия данных Brotli, а именно версии библиотеки с 1.0.3 по 1.2.0. Эксплуатация проблемы может привести к аварийному завершению работы процесса, утечке содержимого памяти, а также к удаленному выполнению произвольного кода.



Специалисты Google оценили эту проблему на 9,2 балла по шкале CVSS 4.0 и выпустили патчи, вошедшие в состав версий Для просмотра ссылки Войди или Зарегистрируйся.


Так как Brotli используется во множестве проектов, свежей уязвимости уже успели присвоить такие громкие названия, как Для просмотра ссылки Войди или Зарегистрируйся, Для просмотра ссылки Войди или Зарегистрируйся, Для просмотра ссылки Войди или Зарегистрируйся и даже Для просмотра ссылки Войди или Зарегистрируйся.


Ранее сообщалось, что проблему экстренно исправили в Node.js, Для просмотра ссылки Войди или Зарегистрируйся, Python-пакетах Для просмотра ссылки Войди или Зарегистрируйся и Для просмотра ссылки Войди или Зарегистрируйся, прокси Для просмотра ссылки Войди или Зарегистрируйся и платформе Для просмотра ссылки Войди или Зарегистрируйся.


Теперь внеплановые патчи для Для просмотра ссылки Войди или Зарегистрируйся также Для просмотра ссылки Войди или Зарегистрируйся. Исправления вошли в .NET версий 8.0.33, 9.0.22, 10.0.14 и .NET 11 Release Candidate 3. Кроме того, обновления получили Visual Studio 2019, 2022 и 2026, а также PowerShell 7.4, 7.5 и 7.6.


В Microsoft оценили CVE-2026-111497 на 8,1 балла по шкале CVSS 3.1 и считают эксплуатацию уязвимости «весьма вероятной». При этом Brotli-декомпрессия не активна по умолчанию в .NET и ASP.NET Core, и опасность возникает лишь в том случае, если приложение явно включает распаковку запросов или ответов либо напрямую использует API Brotli.


Также обновления пришлось срочно выпустить и разработчикам PHP. Они Для просмотра ссылки Войди или Зарегистрируйся, что пересобрали официальные Windows-пакеты PHP 8.2–8.5 с исправленным Brotli 1.2.1, и новые сборки получили номера 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1.


В PHP уязвимость можно использовать через расширение cURL, когда оно автоматически распаковывает Brotli-ответы. Хотя в cURL эта возможность отключена по умолчанию, такое поведение могут активировать приложения и HTTP-клиенты. К примеру, Guzzle при работе через cURL включает автоматическое декодирование ответов по умолчанию.


При этом проблема не ограничивается вышеперечисленными проектами. Так, публичный трекер Для просмотра ссылки Войди или Зарегистрируйся указывает, уязвимую версию Brotli также используют DuckDB, Apache Arrow, 7-Zip-zstd, p7zip, EDK II и другое ПО. При этом обновления системной библиотеки будет недостаточно, если проект поставляется с собственной копией Brotli: разработчикам нужно обновить зависимость и выпустить исправленную версию приложения.


Кроме того, специалисты компании JFrog Для просмотра ссылки Войди или Зарегистрируйся, что уязвимость не ограничивается HTTP-клиентами и серверами: им удалось построить цепочку эксплуатации CVE-2026-111497 через FFmpeg и специально подготовленное изображение JPEG XL. В этом случае FFmpeg обращается к библиотеке libjxl, которая использует Brotli для распаковки метаданных из блоков brob, и вредоносные данные в итоге попадают в уязвимый декодер.


В свою очередь, эксперты из компании Wiz Для просмотра ссылки Войди или Зарегистрируйся, что новая проблема представляет отдельную опасность для облачной инфраструктуры. По словам исследовательницы Мерав Бар (Merav Bar), компоненты, уязвимые перед CVE-2026-111497, встречаются в 91% облачных окружений, а в 82% таких сред также присутствуют публично доступные инстансы Node.js.


Специалисты объясняют, что это связано с широким использованием Brotli в контейнерных приложениях, Kubernetes-кластерах, API-шлюзах, реверс-прокси и облачных веб-сервисах.


В Wiz предупреждают, что успешная эксплуатация бага может привести к компрометации приложений и контейнеров, утечке данных, сбоям в работе сервисов и выполнению произвольного кода.


Подтвержденных случаев эксплуатации CVE-2026-111497 пока не зафиксировано. Однако ранее специалисты Imperva продемонстрировали Для просмотра ссылки Войди или Зарегистрируйся, который приводит к удаленному выполнению произвольного кода в Node.js 24.22.0 для Linux arm64, и в сети уже появились другие эксплоиты для этого бага.


Для просмотра ссылки Войди или Зарегистрируйся