Falha crítica no Brotli ameaça sites e pode permitir execução remota

O que aconteceu

Uma falha crítica identificada na biblioteca de compressão Brotli, do Google, recebeu nota 9,2 em uma escala de dez de gravidade. A vulnerabilidade, catalogada como CVE-2026-111497 e apelidada de HTTP2Shell (também chamada de Node2Shell ou Broccoli2Shell), é um problema de escrita fora dos limites de memória no decodificador da biblioteca.

Segundo pesquisadores de segurança, dados de compressão malformados podem sobrescrever a memória do processo que está rodando o Brotli. Dependendo da aplicação afetada e de como ela está configurada, isso pode causar corrupção de memória, vazamento de informações sensíveis, interrupção de serviços e, em certas condições, permitir que um invasor execute código remotamente sem precisar de autenticação.

Foto: reprodução/bleepingcomputer.com

A falha afeta as versões do Brotli entre 1.0.3 e 1.2.0. O Google já corrigiu a biblioteca nas versões 1.0.10, 1.1.1 e 1.2.1, lançadas a partir de 21 de outubro. Até o momento, a Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos (CISA, a agência responsável por coordenar a resposta a ameaças digitais no país) não confirmou exploração ativa dessa falha específica, mas pesquisadores da empresa Imperva já demonstraram que é possível transformá-la em execução remota de código.

Quem é afetado

Como o Brotli é usado internamente por diversas linguagens e runtimes para compressão de dados em requisições web, a lista de sistemas afetados é extensa:

Node.js, nas linhas 22.x, 24.x e 26.x (antes das versões 22.23.4, 24.22.1 e 26.12.1)
Aplicações .NET, segundo alerta emergencial publicado pela Microsoft
Pacotes Python que dependem do Brotli, como urllib3 com suporte a brotli, requests, httpx e aiohttp com aceleração
Qualquer outra aplicação que utilize cópias vulneráveis da biblioteca, de forma direta ou embutida

Em resumo, o risco atinge boa parte da infraestrutura web moderna que faz compressão automática de dados, não apenas sites em uma linguagem específica.

O que fazer agora

Especialistas recomendam que administradores de sistemas e desenvolvedores ajam rapidamente:

Atualizar o Node.js para as versões 22.23.4, 24.22.1 ou 26.12.1 (ou mais recentes)
Atualizar pacotes Python que usam Brotli para a versão 1.2.1, incluindo a variante brotlicffi
Aplicar os patches emergenciais indicados pela Microsoft em ambientes .NET
Reiniciar todos os processos afetados após a atualização e reconstruir imagens de contêiner que embutam versões vulneráveis do Brotli
Como mitigação temporária, caso o patch não possa ser aplicado de imediato, considerar desativar o suporte a Brotli ou bloquear requisições comprimidas no firewall da aplicação