CISA: хакеры уже эксплуатируют критическую уязвимость Brotli CVE-2026-111497
Агентство CISA подтвердило, что хакеры начали эксплуатировать критическую уязвимость CVE-2026-111497 в декодере сжатия Brotli. Федеральным агентствам США велено установить исправления до 10 ноября.
Главное в цифрах
- Идентификатор уязвимости: CVE-2026-111497
- Срок устранения для федеральных агентств США: 10 ноября
- Основание директивы: BOD 26-04
Во вторник CISA сообщила, что злоумышленники уже используют уязвимость, известную также как Node2Shell, Broccoli2Shell и HTTP2Shell. Ошибка типа out-of-bounds write находится в декодере Brotli, который распаковывает данные, сжатые алгоритмом без потерь от Google.
Непривилегированный злоумышленник может отправить специально сформированный поток, сжатый Brotli, и вызвать сбой или утечку памяти. В отдельных случаях возможно выполнение удалённого кода на устройствах с уязвимыми библиотеками или бинарниками Brotli.
Кто затронут
Проблема впервые обнаружена в среде выполнения JavaScript Node.js, но также затрагивает HTTP-серверы и клиенты, которые используют уязвимые реализации Brotli.
В воскресенье Microsoft выпустила экстренное обновление .NET. По её предупреждению, злоумышленники могут использовать уязвимость для повышения привилегий в системах с уязвимой версией .NET.
Сроки для госсектора и рекомендации
Во вторник CISA добавила уязвимость в каталог Known Exploited Vulnerabilities (KEV) и приказала федеральным агентствам США устранить её в течение двух недель, до 10 ноября, в соответствии с Binding Operational Directive (BOD) 26-04. Директива касается только федеральных ведомств, но агентство призвало всех сетевых защитников заняться исправлением.
Если обновить систему сразу нельзя, CISA советует блокировать входящие запросы, сжатые Brotli, на прокси или файрволе либо отключить декодирование Brotli. После установки исправления администраторы должны перезапустить затронутые процессы и пересобрать и заново развернуть затронутые контейнерные образы.
