È stata individuata una vulnerabilità critica, CVE-2026-111497, nella libreria di compressione Brotli di Google. La vulnerabilità interessa il decodificatore Brotli e potrebbe consentire a un aggressore remoto e non autenticato di provocare un danneggiamento della memoria tramite un flusso compresso con Brotli appositamente manipolato. Uno sfruttamento riuscito potrebbe comportare la divulgazione di dati in memoria, un attacco denial of service (DoS) o l’esecuzione di codice arbitrario nelle implementazioni interessate. Recenti indicazioni fornite dal fornitore di Node.js identificano specificatamente l’esecuzione di codice remoto come una possibile conseguenza negli ambienti Node.js interessati.
La vulnerabilità è causata da una scrittura fuori dai limiti nella gestione del cambio di tipo di blocco del decodificatore Brotli all’interno del file c/dec/decode.c. Lo sfruttamento avviene quando un’applicazione elabora dati compressi con Brotli controllati dall’autore dell’attacco.
Poiché Brotli è comunemente utilizzato nelle moderne applicazioni web, nei server web, nelle API, nei proxy, nelle CDN e nei framework software, l’impatto potenziale va ben oltre le applicazioni che utilizzano direttamente la libreria Brotli. Diversi fornitori hanno già pubblicato avvisi e iniziato a rilasciare aggiornamenti per i prodotti interessati.
Le organizzazioni non dovrebbero sottovalutare questa vulnerabilità ritenendo che abbia un impatto solo su implementazioni di nicchia. La compressione Brotli è diventata una componente comune delle moderne infrastrutture web ed è spesso integrata in framework applicativi, API, proxy inversi, servizi di distribuzione dei contenuti e runtime software. Molte organizzazioni potrebbero quindi essere colpite indirettamente attraverso dipendenze incluse nei pacchetti, piuttosto che attraverso l’uso diretto della libreria Brotli stessa.
Al 28 ottobre 2026, le segnalazioni pubbliche indicano uno sfruttamento in circolazione e un’aggiunta al KEV della CISA segnalata il 27 ottobre, sebbene durante questa analisi non fosse disponibile una conferma diretta della voce nel catalogo. Esistono PoC pubblici relativi a corruzione della memoria e DoS, nonché segnalazioni di RCE, madalle fonti esaminatenon è emersoalcun exploit RCE pubblico affidabile e verificato in modo indipendente. Tuttavia, la vulnerabilità rimane significativa a causa della sua superficie di attacco accessibile dalla rete e della diffusa adozione della compressione Brotli.
Componenti interessati
Dettagli tecnici
CVE-2026-111497 è una vulnerabilità di scrittura fuori limite che interessa il decodificatore Brotli di Google. La vulnerabilità risiede nella gestione della logica di commutazione del tipo di blocco da parte del decodificatore e può essere innescata dall'elaborazione di un flusso compresso con Brotli appositamente modificato.
Uno sfruttamento riuscito potrebbe consentire a un aggressore di:
Lo sfruttamento della vulnerabilità richiede che un'applicazione decomprima dati Brotli controllati dall'autore dell'attacco utilizzando un decodificatore vulnerabile; il semplice supporto della compressione Brotli non implica di per sé la possibilità di sfruttamento.
Esempi possono includere:
Gravità e sfruttamento
La vulnerabilità è particolarmente preoccupante perché:
Tuttavia, i rapporti disponibili sottolineano anche che lo sfruttamento della vulnerabilità richiede che il sistema di destinazione elabori dati Brotli controllati dall’autore dell’attacco. Il repository pubblico syrex1013/node2shell descrive un percorso di corruzione della memoria/DoS che utilizza un add-on di laboratorio; i suoi percorsi RCE documentati si basano inoltre sull’iniezione o la valutazione di comandi separati dell’applicazione. Queste affermazioni non dimostrano l’esistenza di un exploit RCE pubblico affidabile e verificato in modo indipendente per la sola vulnerabilità di Brotli.
Attività delle minacce
Un rapporto pubblico datato 28 ottobre 2026 afferma che la CISA ha aggiunto il CVE-2026-111497 al proprio catalogo delle vulnerabilità note sfruttate il 27 ottobre, citando prove di uno sfruttamento attivo. Durante questa analisi non è stato possibile ottenere una conferma diretta di questa voce. La portata dello sfruttamento in ambiente reale rimane poco chiara.
La vulnerabilità potrebbe diventare oggetto di ulteriori attacchi da parte di attori malintenzionati a causa di:
Le organizzazioni dovrebbero presumere che i sistemi vulnerabili accessibili da Internet che elaborano contenuti compressi con Brotli possano diventare bersaglio di attacchi a seguito della divulgazione pubblica.
Cosa significa questo per le organizzazioni
Le organizzazioni dovrebbero identificare le applicazioni, i servizi e i componenti infrastrutturali che utilizzano la funzionalità di decompressione Brotli, sia direttamente che tramite librerie integrate.
A differenza delle vulnerabilità che richiedono l’accesso locale o una compromissione preventiva, la vulnerabilità CVE-2026-111497 può essere attivata da remoto quando un’applicazione vulnerabile elabora contenuti dannosi compressi con Brotli. A seconda del prodotto interessato e dello scenario di implementazione, uno sfruttamento riuscito potrebbe comportare la divulgazione di informazioni, l’interruzione del servizio o, potenzialmente, l’esecuzione di codice arbitrario.
Data la diffusione di Brotli negli ecosistemi web moderni, le organizzazioni non dovrebbero dare per scontato che siano interessate solo le applicazioni che supportano esplicitamente Brotli. È necessario verificare anche le dipendenze e le librerie integrate.
Applicare gli aggiornamenti forniti dal produttore
Inventario delle dipendenze
Esaminare i servizi accessibili via Internet
Monitorare eventuali comportamenti anomali
Seguire le raccomandazioni dei fornitori
Riepilogo dei rischi
CVE-2026-111497 è una vulnerabilità critica di corruzione della memoria che interessa il decodificatore Brotli di Google. La vulnerabilità può essere sfruttata in remoto tramite contenuti compressi con Brotli appositamente modificati e può portare alla divulgazione di dati in memoria, al denial of service o, potenzialmente, all'esecuzione di codice arbitrario.
Sebbene la portata degli attacchi attivi segnalati rimanga poco chiara e le fonti esaminatenon abbiano individuatoun exploit RCE pubblico affidabile e verificato in modo indipendente, l’uso diffuso della compressione Brotli nelle applicazioni e nei servizi web aumenta significativamente la potenziale esposizione degli ambienti interessati. Le organizzazioni dovrebbero identificare i sistemi interessati e applicare con priorità gli aggiornamenti raccomandati dal fornitore.
Se siete preoccupati per una qualsiasi delle minacce descritte in questo bollettino o avete bisogno di aiuto per determinare quali misure adottare per proteggervi dalle minacce più rilevanti che la vostra organizzazione deve affrontare, contattate il vostro account manager o, in alternativa, contattateci per scoprire come proteggere la vostra organizzazione.