HTTP2Shell: уязвимость Brotli затрагивает не только Node.js

Уязвимость CVE-2026-111497, получившая название HTTP2Shell, затрагивает реализацию декомпрессии Brotli. Изначально её связывали с Node.js, но теперь известно, что она распространяется шире.

Уязвимость может привести к удалённому выполнению кода. Для её эксплуатации злоумышленник должен иметь возможность передать атакующему контролируемые данные, сжатые с помощью Brotli, уязвимой реализации декомпрессора. Приоритетом для защитников является обнаружение уязвимых компонентов, оценка возможности достижения цели и установка исправлений.