In der Google-Brotli-Komprimierungsbibliothek wurde eine kritische Sicherheitslücke (CVE-2026-111497) entdeckt. Die Sicherheitslücke betrifft den Brotli-Decoder und könnte es einem nicht authentifizierten Angreifer aus der Ferne ermöglichen, über einen speziell gestalteten, mit Brotli komprimierten Datenstrom eine Speicherbeschädigung auszulösen. Eine erfolgreiche Ausnutzung könnte in betroffenen Implementierungen zu einer Offenlegung von Speicherdaten, einem Denial-of-Service (DoS) oder der Ausführung von beliebigem Code führen. Aktuelle Hinweise des Anbieters von Node.js weisen ausdrücklich darauf hin, dass in betroffenen Node.js-Umgebungen die Ausführung von Remote-Code eine mögliche Folge sein kann.

Die Sicherheitslücke wird durch einen Schreibvorgang außerhalb des zulässigen Bereichs bei der Verarbeitung des Block-Typ-Wechsels im Brotli-Decoder in der Datei „c/dec/decode.c“ verursacht. Die Ausnutzung erfolgt, wenn eine Anwendung vom Angreifer kontrollierte, Brotli-komprimierte Daten verarbeitet.

Da Brotli in modernen Webanwendungen, Webservern, APIs, Proxys, CDNs und Software-Frameworks weit verbreitet ist, reichen die potenziellen Auswirkungen über Anwendungen hinaus, die die Brotli-Bibliothek direkt nutzen. Mehrere Anbieter haben bereits Sicherheitshinweise veröffentlicht und mit der Bereitstellung von Updates für betroffene Produkte begonnen.

Unternehmen sollten diese Schwachstelle nicht als ein Problem abtun, das nur Nischenanwendungen betrifft. Die Brotli-Komprimierung ist zu einem gängigen Bestandteil moderner Webinfrastrukturen geworden und häufig in Anwendungsframeworks, APIs, Reverse-Proxys, Content-Delivery-Diensten und Software-Laufzeitumgebungen eingebettet. Viele Unternehmen könnten daher indirekt über gebündelte Abhängigkeiten betroffen sein und nicht durch die direkte Nutzung der Brotli-Bibliothek selbst.

Stand 28. Oktober 2026 weisen öffentliche Berichte auf eine Ausnutzung in freier Wildbahn hin sowie auf eine gemeldete Aufnahme in den CISA-KEV am 27. Oktober, obwohl eine direkte Bestätigung des Katalogeintrags zum Zeitpunkt dieser Überprüfung nicht verfügbar war. Es gibt öffentliche PoCs für Speicherbeschädigungen und DoS-Angriffe sowie Behauptungen bezüglich RCE, dochwurde anhand der untersuchten Quellenkein zuverlässiger, unabhängig verifizierter öffentlicher RCE-Exploitnachgewiesen. Die Schwachstelle bleibt jedoch aufgrund ihrer über das Netzwerk zugänglichen Angriffsfläche und der weit verbreiteten Nutzung der Brotli-Komprimierung weiterhin von erheblicher Bedeutung.

Betroffene Komponenten

  • Produkt: Google Brotli
  • Komponente: Brotli-Decoder (c/dec/decode.c)
  • Betroffene Versionen:
    • Brotli 1.0.3–1.0.9, 1.1.0 und 1.2.0 (mit Ausnahme der unten aufgeführten gepatchten Versionen)
  • Behobene Versionen:
    • 1.0.10
    • 1.1.1
    • 1.2.1
  • Möglicherweise betroffene Software umfasst:
  • Webserver, die die Brotli-Dekomprimierung unterstützen
  • Reverse-Proxys und Gateways
  • API-Dienste, die Brotli-Inhalte verarbeiten
  • Node.js-Anwendungen, die anfällige Brotli-Decoder verwenden: unterstützte Versionsreihen 22.x vor 22.23.4, 24.x vor 24.22.1 und 26.x vor 26.12.1; Aktualisieren Sie auf diese behobenen Versionen oder spätere gepatchte Versionen derselben Version
  • Microsoft .NET-Anwendungen, die nicht vertrauenswürdige Brotli-Daten dekodieren; Microsoft listet Korrekturen in .NET 8.0.33, 9.0.22, 10.0.14 und 11.0.0-rc.3.26522.148 für betroffene Pakete auf
  • Anwendungen und Bibliotheken, die Brotli-Inhalte aus nicht vertrauenswürdigen Quellen automatisch entpacken
 

Technische Details

CVE-2026-111497 ist eine Sicherheitslücke durch einen Schreibvorgang außerhalb des zulässigen Bereichs, die den Google-Brotli-Decoder betrifft. Die Schwachstelle liegt in der Verarbeitung der Logik zum Wechseln des Blocktyps durch den Decoder und kann durch die Verarbeitung eines speziell gestalteten, mit Brotli komprimierten Datenstroms ausgelöst werden.

Eine erfolgreiche Ausnutzung könnte es einem Angreifer ermöglichen:

  • angrenzenden Speicher zu beschädigen
  • sensible Speicherinhalte offenzulegen
  • Anwendungsabstürze oder Dienstunterbrechungen verursachen
  • Unter bestimmten Umständen möglicherweise beliebigen Code ausführen

Die Ausnutzung setzt voraus, dass eine Anwendung vom Angreifer kontrollierte Brotli-Daten mithilfe eines anfälligen Decodersdekomprimiert; die bloße Unterstützung der Brotli-Komprimierung bedeutet nicht automatisch, dass eine Ausnutzung möglich ist.

Beispiele hierfür sind unter anderem:

  • HTTP-Datenverkehr, der „Content-Encoding: br“ verwendet
  • API-Anfragen oder -Antworten, die Brotli-komprimierte Inhalte enthalten
  • Anwendungen, die Brotli-Dekomprimierungsbibliotheken direkt nutzen
  • Frameworks, die Brotli-komprimierte Eingaben automatisch verarbeiten

Schweregrad und Ausnutzung

  • CVSS-Score: 9,2 (kritisch) – CVSS v4.0 (Google/CNA); Node.js stuft das Problem als „hoch“ ein. Red Hat stuft es separat als „wichtig“ ein, mit einem CVSS v3.1-Score von 8,1 (hoch)
  • Angriffsvektor: Netzwerk
  • Erforderliche Berechtigungen: Keine
  • Benutzerinteraktion: Keine

Die Sicherheitslücke ist besonders besorgniserregend, weil:

  • Die Ausnutzung kann aus der Ferne über das Netzwerk erfolgen
  • Es ist keine Authentifizierung erforderlich
  • Es ist keine Benutzerinteraktion erforderlich
  • Sicherheitslücken durch Speicherbeschädigungen sind oft schwer zu erkennen
  • Die Brotli-Komprimierung ist in modernen Anwendungen und Diensten weit verbreitet
  • Node.js hat die Sicherheitslücke öffentlich als eine Schwachstelle beschrieben, die in betroffenen Umgebungen die Ausführung von Remote-Code ermöglicht

In den verfügbaren Berichten wird jedoch auch darauf hingewiesen, dass für die Ausnutzung der Schwachstelle das Zielsystem vom Angreifer kontrollierte Brotli-Daten verarbeiten muss. Das öffentliche Repository „syrex1013/node2shell“ beschreibt einen Angriffsweg über Speicherbeschädigung und DoS unter Verwendung eines Labor-Add-ons; die dort dokumentierten RCE-Angriffswege beruhen zudem auf separater Befehlsinjektion oder -auswertung in der Anwendung. Diese Angaben belegen jedoch keinen zuverlässigen, unabhängig verifizierten öffentlichen RCE-Exploit, der ausschließlich auf der Brotli-Sicherheitslücke basiert.

Bedrohungsaktivität

Öffentlichen Berichten vom 28. Oktober 2026 zufolge hat die CISA am 27. Oktober CVE-2026-111497 in ihren Katalog „Known Exploited Vulnerabilities“ aufgenommen und dabei Hinweise auf eine aktive Ausnutzung angeführt. Eine direkte Bestätigung dieses Eintrags war während dieser Überprüfung nicht verfügbar. Das Ausmaß der Ausnutzung in der Praxis bleibt unklar.

Die Sicherheitslücke könnte aus folgenden Gründen weitere Angriffe durch Bedrohungsakteure nach sich ziehen:

  • ihrer Einstufung als „kritisch“
  • der weit verbreiteten Nutzung von Brotli-fähigen Anwendungen
  • Die Angriffsfläche für Remote-Angriffe
  • Mögliche Auswirkungen in Form von Speicheroffenlegung und Codeausführung

Unternehmen sollten davon ausgehen, dass anfällige, über das Internet zugängliche Systeme, die mit Brotli komprimierte Inhalte verarbeiten, nach der öffentlichen Bekanntgabe zum Ziel von Angriffen werden könnten.

Was dies für Unternehmen bedeutet

Unternehmen sollten Anwendungen, Dienste und Infrastrukturkomponenten identifizieren, die die Brotli-Dekomprimierungsfunktion entweder direkt oder über gebündelte Bibliotheken nutzen.

Im Gegensatz zu Schwachstellen, die lokalen Zugriff oder eine vorherige Kompromittierung erfordern, kann CVE-2026-111497 aus der Ferne ausgelöst werden, wenn eine anfällige Anwendung bösartige, mit Brotli komprimierte Inhalte verarbeitet. Je nach betroffenem Produkt und Einsatzszenario könnte eine erfolgreiche Ausnutzung zu einer Offenlegung von Informationen, einer Dienstunterbrechung oder möglicherweise zur Ausführung von beliebigem Code führen.

Angesichts der weit verbreiteten Nutzung von Brotli in modernen Web-Ökosystemen sollten Unternehmen nicht davon ausgehen, dass nur explizit Brotli-fähige Anwendungen betroffen sind. Auch Abhängigkeiten und gebündelte Bibliotheken sollten überprüft werden.

Empfohlene Maßnahmen zur Risikominderung

 

Anbieter-Updates installieren

  • Identifizieren Sie Produkte, die die Brotli-Dekomprimierungsfunktion nutzen
  • Aktualisieren Sie anfällige Brotli-Bibliotheken auf die vom Anbieter empfohlenen, korrigierten Versionen, einschließlich der vom Anbieter zurückportierten Systempakete, sofern zutreffend
  • Priorisieren Sie internetbasierte Anwendungen und Dienste sowie Clients, die nicht vertrauenswürdige Brotli-Antworten dekodieren
  • Anwenden von Hersteller-Patches, sobald diese für betroffene Produkte verfügbar sind

Bestandsaufnahme der Abhängigkeiten

  • Überprüfen Sie die Daten der Software-Stückliste (SBOM), sofern verfügbar
  • Identifizieren Sie direkte und indirekte Abhängigkeiten unter Verwendung von Brotli
  • Überprüfen Sie die in Anwendungen von Drittanbietern eingebundenen Brotli-Bibliotheken

Überprüfen Sie über das Internet zugängliche Dienste

  • Identifizieren Sie Anwendungen, die mit Brotli komprimierte Inhalte verarbeiten
  • Überprüfen Sie exponierte API-Endpunkte
  • Bewerten Sie Reverse-Proxys und Web-Gateways, die die Brotli-Dekomprimierung unterstützen

Auf anomales Verhalten überwachen

  • Unerwartete Anwendungsabstürze untersuchen
  • Protokolle auf fehlerhafte Brotli-Anfragen überprüfen
  • Überwachung auf Dienstinstabilität nach der Verarbeitung komprimierter Inhalte

Beachten Sie die Hinweise der Anbieter

  • Sicherheitshinweise von Anwendungsanbietern prüfen
  • Verfolgen Sie Updates für Softwareprodukte, die Brotli enthalten
  • Überprüfen Sie den Status der Abhilfemaßnahmen für alle verwalteten Ressourcen

Risikozusammenfassung

CVE-2026-111497 ist eine kritische Sicherheitslücke durch Speicherbeschädigung, die den Google-Brotli-Decoder betrifft. Die Schwachstelle kann aus der Ferne durch speziell gestaltete, mit Brotli komprimierte Inhalte ausgelöst werden und zu einer Offenlegung von Speicherdaten, einem Denial-of-Service oder möglicherweise zur Ausführung von beliebigem Code führen.

Obwohl das Ausmaß der gemeldeten aktiven Ausnutzung unklarbleibt und von den untersuchten Quellenkein zuverlässiger, unabhängig verifizierter öffentlicher RCE-Exploitfestgestelltwurde , erhöht die weit verbreitete Nutzung der Brotli-Komprimierung in Webanwendungen und -diensten das potenzielle Risiko für betroffene Umgebungen erheblich. Unternehmen sollten betroffene Systeme identifizieren und die vom Hersteller empfohlenen Updates vorrangig installieren.

Wenn Sie Bedenken hinsichtlich einer der in diesem Bulletin beschriebenen Bedrohungen haben oder Hilfe bei der Ermittlung der Maßnahmen benötigen, mit denen Sie sich vor den für Ihr Unternehmen relevantesten Bedrohungen schützen können, wenden Sie sich bitte an Ihren Kundenbetreuer oder kontaktieren Sie uns, um zu erfahren, wie Sie Ihr Unternehmen schützen können.

 

Kontaktieren Sie uns