In der Google-Brotli-Komprimierungsbibliothek wurde eine kritische Sicherheitslücke (CVE-2026-111497) entdeckt. Die Sicherheitslücke betrifft den Brotli-Decoder und könnte es einem nicht authentifizierten Angreifer aus der Ferne ermöglichen, über einen speziell gestalteten, mit Brotli komprimierten Datenstrom eine Speicherbeschädigung auszulösen. Eine erfolgreiche Ausnutzung könnte in betroffenen Implementierungen zu einer Offenlegung von Speicherdaten, einem Denial-of-Service (DoS) oder der Ausführung von beliebigem Code führen. Aktuelle Hinweise des Anbieters von Node.js weisen ausdrücklich darauf hin, dass in betroffenen Node.js-Umgebungen die Ausführung von Remote-Code eine mögliche Folge sein kann.
Die Sicherheitslücke wird durch einen Schreibvorgang außerhalb des zulässigen Bereichs bei der Verarbeitung des Block-Typ-Wechsels im Brotli-Decoder in der Datei „c/dec/decode.c“ verursacht. Die Ausnutzung erfolgt, wenn eine Anwendung vom Angreifer kontrollierte, Brotli-komprimierte Daten verarbeitet.
Da Brotli in modernen Webanwendungen, Webservern, APIs, Proxys, CDNs und Software-Frameworks weit verbreitet ist, reichen die potenziellen Auswirkungen über Anwendungen hinaus, die die Brotli-Bibliothek direkt nutzen. Mehrere Anbieter haben bereits Sicherheitshinweise veröffentlicht und mit der Bereitstellung von Updates für betroffene Produkte begonnen.
Unternehmen sollten diese Schwachstelle nicht als ein Problem abtun, das nur Nischenanwendungen betrifft. Die Brotli-Komprimierung ist zu einem gängigen Bestandteil moderner Webinfrastrukturen geworden und häufig in Anwendungsframeworks, APIs, Reverse-Proxys, Content-Delivery-Diensten und Software-Laufzeitumgebungen eingebettet. Viele Unternehmen könnten daher indirekt über gebündelte Abhängigkeiten betroffen sein und nicht durch die direkte Nutzung der Brotli-Bibliothek selbst.
Stand 28. Oktober 2026 weisen öffentliche Berichte auf eine Ausnutzung in freier Wildbahn hin sowie auf eine gemeldete Aufnahme in den CISA-KEV am 27. Oktober, obwohl eine direkte Bestätigung des Katalogeintrags zum Zeitpunkt dieser Überprüfung nicht verfügbar war. Es gibt öffentliche PoCs für Speicherbeschädigungen und DoS-Angriffe sowie Behauptungen bezüglich RCE, dochwurde anhand der untersuchten Quellenkein zuverlässiger, unabhängig verifizierter öffentlicher RCE-Exploitnachgewiesen. Die Schwachstelle bleibt jedoch aufgrund ihrer über das Netzwerk zugänglichen Angriffsfläche und der weit verbreiteten Nutzung der Brotli-Komprimierung weiterhin von erheblicher Bedeutung.
Betroffene Komponenten
Technische Details
CVE-2026-111497 ist eine Sicherheitslücke durch einen Schreibvorgang außerhalb des zulässigen Bereichs, die den Google-Brotli-Decoder betrifft. Die Schwachstelle liegt in der Verarbeitung der Logik zum Wechseln des Blocktyps durch den Decoder und kann durch die Verarbeitung eines speziell gestalteten, mit Brotli komprimierten Datenstroms ausgelöst werden.
Eine erfolgreiche Ausnutzung könnte es einem Angreifer ermöglichen:
Die Ausnutzung setzt voraus, dass eine Anwendung vom Angreifer kontrollierte Brotli-Daten mithilfe eines anfälligen Decodersdekomprimiert; die bloße Unterstützung der Brotli-Komprimierung bedeutet nicht automatisch, dass eine Ausnutzung möglich ist.
Beispiele hierfür sind unter anderem:
Schweregrad und Ausnutzung
Die Sicherheitslücke ist besonders besorgniserregend, weil:
In den verfügbaren Berichten wird jedoch auch darauf hingewiesen, dass für die Ausnutzung der Schwachstelle das Zielsystem vom Angreifer kontrollierte Brotli-Daten verarbeiten muss. Das öffentliche Repository „syrex1013/node2shell“ beschreibt einen Angriffsweg über Speicherbeschädigung und DoS unter Verwendung eines Labor-Add-ons; die dort dokumentierten RCE-Angriffswege beruhen zudem auf separater Befehlsinjektion oder -auswertung in der Anwendung. Diese Angaben belegen jedoch keinen zuverlässigen, unabhängig verifizierten öffentlichen RCE-Exploit, der ausschließlich auf der Brotli-Sicherheitslücke basiert.
Bedrohungsaktivität
Öffentlichen Berichten vom 28. Oktober 2026 zufolge hat die CISA am 27. Oktober CVE-2026-111497 in ihren Katalog „Known Exploited Vulnerabilities“ aufgenommen und dabei Hinweise auf eine aktive Ausnutzung angeführt. Eine direkte Bestätigung dieses Eintrags war während dieser Überprüfung nicht verfügbar. Das Ausmaß der Ausnutzung in der Praxis bleibt unklar.
Die Sicherheitslücke könnte aus folgenden Gründen weitere Angriffe durch Bedrohungsakteure nach sich ziehen:
Unternehmen sollten davon ausgehen, dass anfällige, über das Internet zugängliche Systeme, die mit Brotli komprimierte Inhalte verarbeiten, nach der öffentlichen Bekanntgabe zum Ziel von Angriffen werden könnten.
Was dies für Unternehmen bedeutet
Unternehmen sollten Anwendungen, Dienste und Infrastrukturkomponenten identifizieren, die die Brotli-Dekomprimierungsfunktion entweder direkt oder über gebündelte Bibliotheken nutzen.
Im Gegensatz zu Schwachstellen, die lokalen Zugriff oder eine vorherige Kompromittierung erfordern, kann CVE-2026-111497 aus der Ferne ausgelöst werden, wenn eine anfällige Anwendung bösartige, mit Brotli komprimierte Inhalte verarbeitet. Je nach betroffenem Produkt und Einsatzszenario könnte eine erfolgreiche Ausnutzung zu einer Offenlegung von Informationen, einer Dienstunterbrechung oder möglicherweise zur Ausführung von beliebigem Code führen.
Angesichts der weit verbreiteten Nutzung von Brotli in modernen Web-Ökosystemen sollten Unternehmen nicht davon ausgehen, dass nur explizit Brotli-fähige Anwendungen betroffen sind. Auch Abhängigkeiten und gebündelte Bibliotheken sollten überprüft werden.
Anbieter-Updates installieren
Bestandsaufnahme der Abhängigkeiten
Überprüfen Sie über das Internet zugängliche Dienste
Auf anomales Verhalten überwachen
Beachten Sie die Hinweise der Anbieter
Risikozusammenfassung
CVE-2026-111497 ist eine kritische Sicherheitslücke durch Speicherbeschädigung, die den Google-Brotli-Decoder betrifft. Die Schwachstelle kann aus der Ferne durch speziell gestaltete, mit Brotli komprimierte Inhalte ausgelöst werden und zu einer Offenlegung von Speicherdaten, einem Denial-of-Service oder möglicherweise zur Ausführung von beliebigem Code führen.
Obwohl das Ausmaß der gemeldeten aktiven Ausnutzung unklarbleibt und von den untersuchten Quellenkein zuverlässiger, unabhängig verifizierter öffentlicher RCE-Exploitfestgestelltwurde , erhöht die weit verbreitete Nutzung der Brotli-Komprimierung in Webanwendungen und -diensten das potenzielle Risiko für betroffene Umgebungen erheblich. Unternehmen sollten betroffene Systeme identifizieren und die vom Hersteller empfohlenen Updates vorrangig installieren.
Wenn Sie Bedenken hinsichtlich einer der in diesem Bulletin beschriebenen Bedrohungen haben oder Hilfe bei der Ermittlung der Maßnahmen benötigen, mit denen Sie sich vor den für Ihr Unternehmen relevantesten Bedrohungen schützen können, wenden Sie sich bitte an Ihren Kundenbetreuer oder kontaktieren Sie uns, um zu erfahren, wie Sie Ihr Unternehmen schützen können.