Уязвимость Brotli CVE-2026-111497 позволяет удалённо выполнить код на серверах WordPress

Google опубликовала CVE-2026-111497 для уязвимости Brotli

1. Что произошло

Google выпустила идентификатор CVE-2026-111497 для критической уязвимости в библиотеке Brotli. Уязвимость получила оценку 9.2 из 10 по шкале CVSS v4.0. Специально сформированный поток данных Brotli может повредить память. Атакующий может удалённо выполнить код на сервере, если сможет заставить уязвимый сетевой процесс декодировать этот поток. Уязвимость получила неофициальные названия HTTP2Shell, Node2Shell и Brotli2Shell. Эксплуатация CVE-2026-111497 подтверждена в реальных условиях. CISA внесла её в каталог известных эксплуатируемых уязвимостей.

Brotli декодирует данные для ускорения передачи контента

Brotli представляет собой формат сжатия и программную библиотеку. Он уменьшает размер веб-контента для ускорения его передачи. Библиотеку Brotli поставляют операционная система, платформа хостинга, образ контейнера или веб-сервер. Владельцы сайтов используют Brotli, не взаимодействуя с ним напрямую. Уязвимость затрагивает декодер Brotli. Вредоносный сжатый файл может заставить декодер записать данные за пределами выделенной области памяти. Это может привести к сбою, раскрытию информации из памяти или удалённому выполнению кода. Уязвимы версии Brotli 1.0.3–1.0.9, 1.1.0 и 1.2.0. Исправленные версии — 1.0.10, 1.1.1 и 1.2.1 соответственно. Поставщики Linux и хостинга часто переносят исправления безопасности в свои сборки, не меняя основной номер версии. Необходимо проверять полный номер ревизии пакета и уведомление безопасности поставщика.

WordPress использует Brotli для исходящих запросов

Уязвимость Brotli не является проблемой ядра WordPress, плагина или темы. WordPress может запрашивать данные с других сайтов. Сервер может использовать Brotli при обработке ответа. В продемонстрированной атаке на WordPress вредоносные данные не передаются напрямую в запросе к сайту. Вместо этого WordPress делает исходящий запрос на сервер, контролируемый атакующим. Уязвимая библиотека Brotli обрабатывает сжатый ответ. Для эксплуатации уязвимости через WordPress используется функция XML-RPC pingback. Атакующий отправляет неаутентифицированный запрос на метод pingback.ping, указывая URL своего сервера. WordPress запрашивает этот URL для подтверждения ссылки на пост. Сервер атакующего возвращает специально сформированный ответ, помеченный как сжатый Brotli. Уязвимый декодер Brotli повреждает память. Если эксплойт соответствует программному обеспечению сервера и его структуре памяти, атакующий может выполнить код с правами PHP-процесса сайта. Для успешной атаки необходим доступный XML-RPC-эндпоинт, зарегистрированный метод pingback.ping, разрешение на исходящие запросы и использование уязвимого декодера Brotli. Эксплойт должен точно соответствовать сборке PHP, среде выполнения и структуре памяти целевого сервера. Обновление WordPress не обновляет затронутую библиотеку. Хостинг-провайдер или администратор сервера должны установить обновление ОС или платформы и перезапустить службы, загрузившие старую библиотеку.

Обновите Brotli и проверьте конфигурацию сервера

Владельцам сайтов под управлением WordPress следует запросить у хостинг-провайдера подтверждение установки исправления для CVE-2026-111497 в библиотеке Brotli. Необходимо убедиться, что затронутые службы были перезапущены или переразвёрнуты после обновления. Технические администраторы могут проверить доступность метода pingback.ping через XML-RPC. Это подтверждает лишь доступность метода, а не уязвимость сайта. Для успешной атаки также требуется, чтобы пост принимал пинги и сервер соответствовал другим условиям. Администраторы серверов должны установить обновление безопасности от поставщика ОС или платформы. После обновления следует перезапустить Apache, PHP-FPM или другие процессы, загрузившие старую библиотеку. Пользователи контейнеров должны пересобрать и переразвернуть образы из обновлённого базового образа. Пользователям CloudLinux и аналогичных платформ следует внимательно изучить рекомендации поставщика. Агентствам и хостинг-провайдерам необходимо проверить все производственные, промежуточные и устаревшие среды. Следует сохранять журналы и резервные копии для расследования необычной активности. Wordfence Disable XML-RPC authentication не отключает неаутентифицированные пинги. Изменение поведения XML-RPC или пингбэков может нарушить легитимные интеграции и устраняет только продемонстрированный путь атаки через WordPress, но не исправляет уязвимую библиотеку Brotli.