Масштаб проблемы и новая уязвимость
Специалисты по безопасности выявили серьезную брешь в библиотеке сжатия Brotli, разработанной компанией Google. Изначально проблема затрагивала JavaScript-среду Node.js и получила неофициальное название node2shell. Однако углубленный анализ показал, что уязвимость кроется в самой библиотеке декодирования и поражает гораздо более широкий спектр программного обеспечения.
Угроза зарегистрирована под идентификатором CVE-2026-111497 и получила наивысший уровень критичности с оценкой CVSS в 9.2 балла. Ошибка представляет собой потенциальное переполнение буфера в версиях декодера с 1.0.3 по 1.2.0. Злоумышленники могут отправлять специально сформированные потоки данных, что приводит к сбоям в управлении памятью, утечке конфиденциальной информации, организации атак типа отказа в обслуживании или даже выполнению произвольного вредоносного кода на сервере.
Затронутые экосистемы и программное обеспечение
Исследователи из компаний Aikido и JFrog опубликовали списки уязвимого ПО. В зоне риска оказались не только Node.js, но и среда выполнения Bun, язык программирования Python через модули Brotli и brotlicffi, а также платформы .NET, C++, Apache Arrow, Envoy, Istio, Ruby, мультимедийный фреймворк FFmpeg и СУБД Clickhouse. Подобные масштабные сетевые угрозы часто затрагивают популярные серверные компоненты и библиотеки критических уязвимостей в PHP, требуя от разработчиков незамедлительного аудита зависимостей.
Первоначально брешь была обнаружена специалистами OpenAI еще в феврале, однако исправление в исходном коде долгое время не сопровождалось официальным релизом безопасности. На текущий момент исследователям уже удалось создать работающие эксплойты для получения контроля над стандартными сборками Node.js, хотя случаев реальных атак в сети пока не зафиксировано.
Что это значит для вас
Разработчикам и системным администраторам необходимо срочно проверить используемые зависимости и обновить библиотеки до исправленных версий. Google выпустила патчи в версиях Brotli 1.0.10, 1.1.1 и 1.2.1. Для Node.js исправленные сборки доступны под номерами 22.23.4, 24.22.1 и 26.12.1. В Python требуется обновить пакеты Brotli до версии 1.2.1 и brotlicffi до 1.2.1.0. Если прямое обновление невозможно, рекомендуется временно отключить поддержку декодирования Brotli в конфигурациях серверов или приложений до установки официальных обновлений безопасности.
