Microsoft lança correções emergenciais no .NET para falha no Brotli, biblioteca do Google

A CVE-2026-111497, apelidada de Broccoli2Shell (ou Node2Shell), é um buffer overflow na biblioteca de compressão Brotli, do Google. A Microsoft avalia a falha com CVSS 8.1 (v3.1) e a classifica como "Exploitation More Likely". Um atacante não autenticado pode enviar dados comprimidos com Brotli em uma requisição especialmente criada para ler ou corromper a memória do processo. O resultado pode ser vazamento de informação, negação de serviço ou elevação de privilégio. O advisory da Microsoft confirma que especialistas já montaram exploits funcionais, mas não há indício de uso em ataques bem-sucedidos.

A Microsoft liberou, em 25 de outubro de 2026, atualizações fora do ciclo para .NET 8, 9, 10 e 11. O problema foi divulgado em 21 de outubro pelo time do Node.js, que creditou Khai Tran e Sylvie Mayer, do Codex Security da OpenAI. Segundo a OpenAI, a causa raiz foi corrigida no código-fonte do Brotli em fevereiro, mas ninguém sabia que aquilo era uma falha de segurança, e não houve nova release da biblioteca. Como o Brotli vem embutido em outros softwares, cada projeto precisa incorporar a correção, e só depois os usuários finais.

O alcance vai além de HTTP. A JFrog montou um exploit para o FFmpeg usando uma imagem JPEG XL especialmente criada: o FFmpeg chega ao Brotli via libjxl, que descomprime metadados em boxes brob. Também há patches em Bun, Envoy e Istio, e o Apache Arrow pode sofrer negação de serviço. A Wiz afirma que 91% dos ambientes de nuvem usam componentes vulneráveis e 82% têm instâncias Node.js expostas. A OpenAI recomenda bloquear dados Brotli não confiáveis onde for viável até aplicar os patches, além de reconstruir os deployments e reiniciar os serviços.

Em 22 de outubro de 2026, o CEVIU noticiou "Node.js lança correções de segurança para as linhas 26.x, 24.x e 22.x, incluindo falha alta de RCE no decoder Brotli". Em 26 de outubro de 2026, veio "Falha crítica no decoder do Brotli, batizada de Broccoli2Shell, permite execução remota de código em Node.js, Bun e Envoy Proxy", que já citava os dados da Wiz. O que muda agora é a entrada da Microsoft: o .NET passa a ter correção fora do ciclo, e a lista de afetados cresce com Python, Istio e FFmpeg.

Para quem opera aplicações em contêineres, gateways e proxies reversos, o ponto é o inventário. Brotli costuma entrar como dependência embutida, então só atualizar o runtime principal não basta. Vale mapear onde a biblioteca aparece, reconstruir imagens e reiniciar os serviços. Não há exploração ativa confirmada, mas a classificação "Exploitation More Likely" e a existência de exploits funcionais justificam priorizar o patch.