Falha crítica HTTP2Shell no decoder do Brotli leva Node.js, .NET e bibliotecas Python a lançar patches de emergência

A CVE-2026-111497 é um buffer overflow no decoder C do Brotli, biblioteca de compressão mantida pelo Google e embutida no Node.js. Aparece com vários nomes (HTTP2Shell, Broccoli2Shell, Node2Shell) porque foi identificada primeiro no Node.js, antes de os pesquisadores verem que o mesmo defeito atinge outros ecossistemas. Afeta o Brotli 1.0.3 a 1.0.9, 1.1.0 e 1.2.0.

O mecanismo: um stream Brotli especialmente construído dispara uma troca de bloco inválida. O decoder a trata como pedido temporário de mais entrada, e não como erro permanente de formato. Assim, continua gravando bytes num buffer interno de oito bytes e escreve além do limite, corrompendo memória vizinha. O Node.js diz que isso pode derrubar o processo, expor memória e permitir RCE, e a Imperva confirmou o caminho até RCE. O vetor pode ser uma resposta HTTP comprimida servida a uma aplicação que busca uma URL, ou uma requisição comprimida enviada direto a um servidor. O nome HTTP2Shell não significa que a falha seja específica do HTTP/2.

Correções: Brotli 1.0.10, 1.1.1 e 1.2.1, e Node.js 22.23.4, 24.22.1 e 26.12.1. Os pacotes PyPI com o conserto saíram em 23 de outubro de 2026. A Microsoft lançou atualização de emergência para o .NET, alertando para elevação de privilégio. Há PoCs públicos, mas sem relato de exploração maliciosa em andamento. Depois de atualizar, é preciso reiniciar os processos e reconstruir e reimplantar as imagens de contêiner. Atualizar o Brotli do sistema não resolve apps com cópia própria embutida, e bloquear requisições Brotli de entrada deixa aberta a rota da resposta HTTP maliciosa. Sem como atualizar já, a orientação é remover o suporte a Brotli em apps Python e bloquear requisições comprimidas em Brotli no proxy ou firewall.

Em 22 de outubro de 2026, o CEVIU noticiou "Node.js lança correções de segurança para as linhas 26.x, 24.x e 22.x, incluindo falha alta de RCE no decoder Brotli", quando o problema aparecia como correção dentro de um pacote de updates do Node.js. Em 26 de outubro de 2026, a matéria "Falha crítica no decoder do Brotli, batizada de Broccoli2Shell, permite execução remota de código em Node.js, Bun e Envoy Proxy" já tratava a CVE-2026-111497 como falha crítica com impacto além do Node.js. Agora o quadro inclui .NET e bibliotecas Python entre os softwares com patch de emergência.

Para quem opera aplicações em Node.js, .NET ou Python, a leitura é que a superfície real é maior que o runtime: depende de onde há um Brotli embutido. Vale inventariar dependências e imagens de contêiner, não só o pacote do sistema. Como há PoC público e a falha é remota, o patch tende a merecer prioridade mesmo sem exploração confirmada.