2026-10-27
Vulnerabilidade do Brotli CVE-2026-111497 (Node2Shell): como verificar Node.js, Python e .NET, e o que atualizar
Em 21 de outubro de 2026 (horário dos EUA), o Google publicou o Brotli 1.2.1, 1.1.1 e 1.0.10 para corrigir a CVE-2026-111497, uma escrita fora dos limites na biblioteca oficial do Brotli. São afetados o Brotli 1.0.3–1.0.9, 1.1.0 e 1.2.0. Descomprimir dados Brotli manipulados pode corromper a memória e causar travamentos, exposição de memória ou, potencialmente, execução de código arbitrário. O Google atribui nota 9,2 no CVSS v4.0. O Node.js lançou 22.23.4, 24.22.1 e 26.12.1 no mesmo dia, e em 22 de outubro os pacotes do PyPI foram corrigidos no brotli 1.2.1 e no brotlicffi 1.2.1.0. A Microsoft publicou correções para o .NET 8, 9 e 10 (8.0.33, 9.0.22, 10.0.14) em 25 de outubro (horário dos EUA), e o Bun (1.4.4) e o Envoy também lançaram correções. O JPCERT/CC, a equipe de resposta a emergências de computador do Japão, emitiu em 26 de outubro um alerta que menciona os apelidos Node2Shell e HTTP2Shell. Muitos programas carregam a própria cópia do Brotli, então atualizar a biblioteca do sistema operacional não corrige as cópias dentro das builds oficiais do Node.js, dos wheels do Python vindos do PyPI, das imagens de contêiner ou dos executáveis de arquivo único. Na manhã de 27 de outubro (horário do Japão), o catálogo de vulnerabilidades exploradas conhecidas (KEV) da CISA não a lista, e nenhuma fonte primária relata exploração. Conclusão deste site: se um serviço em Node.js, Bun, Python ou .NET descomprime dados recebidos de fora, verifique as versões hoje, atualize e depois reconstrua contêineres e executáveis.