En kritisk sårbarhet, CVE-2026-111497, har identifierats i Googles komprimeringsbibliotek Brotli. Sårbarheten påverkar Brotli-avkodaren och kan göra det möjligt för en fjärrangripare utan autentisering att orsaka minneskorruption via en specialkonstruerad Brotli-komprimerad ström. Ett framgångsrikt utnyttjande kan leda till minnesläckage, överbelastningsattack (DoS) eller körning av godtycklig kod i drabbade implementationer. I nyligen publicerade riktlinjer från Node.js identifieras specifikt fjärrkörning av kod som en möjlig konsekvens i drabbade Node.js-miljöer.
Sårbarheten orsakas av en skrivning utanför gränserna i Brotli-avkodarens hantering av blocktypsväxling i filen c/dec/decode.c. Utnyttjande sker när en applikation bearbetar Brotli-komprimerade data som kontrolleras av angriparen.
Eftersom Brotli används i stor utsträckning i moderna webbapplikationer, webbservrar, API:er, proxyservrar, CDN:er och programvaruramverk sträcker sig den potentiella påverkan bortom de applikationer som direkt använder Brotli-biblioteket. Flera leverantörer har redan publicerat säkerhetsmeddelanden och börjat släppa uppdateringar för drabbade produkter.
Organisationer bör inte avfärda denna sårbarhet som något som endast påverkar nischade miljöer. Brotli-komprimering har blivit en vanlig del av modern webbinfrastruktur och är ofta inbäddad i applikationsramverk, API:er, omvända proxyservrar, innehållsleveranstjänster och mjukvarumiljöer. Många organisationer kan därför påverkas indirekt genom medföljande beroenden snarare än genom direkt användning av själva Brotli-biblioteket.
Per den 28 oktober 2026 visar offentliga rapporter på utnyttjande i det vilda och ett rapporterat tillägg till CISA:s KEV-katalog den 27 oktober, även om direkt bekräftelse av katalogposten inte fanns tillgänglig under denna granskning. Det finns offentliga PoC:er för minneskorruption och DoS samt påståenden om RCE, men en tillförlitlig, oberoende verifierad offentlig RCE-exploit har inte kunnat fastställas av de granskade källorna. Sårbarheten förblir dock betydande på grund av dess nätverksåtkomliga attackyta och den utbredda användningen av Brotli-komprimering.
Berörda komponenter
Tekniska detaljer
CVE-2026-111497 är en sårbarhet av typen ”out-of-bounds write” som påverkar Googles Brotli-avkodare. Sårbarheten finns i avkodarens hantering av logiken för växling mellan blocktyper och kan utlösas genom bearbetning av en specialkonstruerad Brotli-komprimerad ström.
En lyckad attack kan göra det möjligt för en angripare att:
För att utnyttja sårbarheten krävs att en applikation dekomprimerar Brotli-data som kontrolleras av angriparen med hjälp av en sårbar avkodare; enbart stöd för Brotli-komprimering innebär inte att sårbarheten kan utnyttjas.
Exempel kan vara:
Allvarlighetsgrad och utnyttjande
Sårbarheten är särskilt oroande eftersom:
Tillgängliga rapporter visar dock också att utnyttjandet kräver att målet bearbetar Brotli-data som kontrolleras av angriparen. Det offentliga repositoriet syrex1013/node2shell beskriver en väg till minneskorruption/DoS med hjälp av ett lab-tillägg; dess dokumenterade RCE-vägar förlitar sig också på separat kommandoinjektion eller utvärdering i applikationen. Dessa påståenden utgör inte ett tillförlitligt, oberoende verifierat offentligt RCE-exploit enbart för Brotli-sårbarheten.
Hotaktivitet
Offentliga rapporter från den 28 oktober 2026 anger att CISA den 27 oktober lade till CVE-2026-111497 i sin katalog över kända utnyttjade sårbarheter, med hänvisning till bevis på aktivt utnyttjande. Direkt bekräftelse av denna post fanns inte tillgänglig under denna granskning. Omfattningen av utnyttjandet i det vilda är fortfarande oklar.
Sårbarheten kan komma att bli föremål för ytterligare attacker från hotaktörer på grund av:
Organisationer bör utgå från att sårbara system med internetåtkomst som hanterar Brotli-komprimerat innehåll kan bli måltavlor efter att sårbarheten har offentliggjorts.
Vad detta innebär för organisationer
Organisationer bör identifiera applikationer, tjänster och infrastrukturkomponenter som använder Brotli-dekomprimeringsfunktionalitet, antingen direkt eller via medföljande bibliotek.
Till skillnad från sårbarheter som kräver lokal åtkomst eller tidigare intrång kan CVE-2026-111497 utlösas på distans när en sårbar applikation bearbetar skadligt Brotli-komprimerat innehåll. Beroende på vilken produkt som drabbas och hur den används kan ett framgångsrikt utnyttjande leda till informationsläckage, avbrott i tjänsten eller potentiellt körning av godtycklig kod.
Med tanke på hur utbrett Brotli är inom moderna webbekosystem bör organisationer inte utgå från att endast applikationer där Brotli uttryckligen är aktiverat är drabbade. Beroenden och medföljande bibliotek bör också granskas.
Installera leverantörsuppdateringar
Inventera beroenden
Granska tjänster som är tillgängliga via internet
Övervaka för avvikande beteende
Följ leverantörernas rekommendationer
Risksammanfattning
CVE-2026-111497 är en kritisk sårbarhet som orsakar minneskorruption och som påverkar Googles Brotli-avkodare. Sårbarheten kan utlösas på distans genom specialkonstruerat Brotli-komprimerat innehåll och kan leda till minnesläckage, överbelastningsattack eller potentiellt godtycklig kodkörning.
Även om omfattningen av rapporterad aktiv utnyttjande fortfarande är oklar och ingen tillförlitlig, oberoende verifierad offentlig RCE-exploithar fastställts av de granskade källorna, ökar den utbredda användningen av Brotli-komprimering i webbapplikationer och tjänster avsevärt den potentiella exponeringen för drabbade miljöer. Organisationer bör identifiera drabbade system och prioritera att installera de uppdateringar som leverantören rekommenderar.
Om du är orolig för någon av de hot som beskrivs i detta meddelande eller behöver hjälp med att avgöra vilka åtgärder du bör vidta för att skydda dig mot de mest väsentliga hoten som din organisation står inför, vänligen kontakta din kundansvarige eller ta kontakt med oss för att ta reda på hur du kan skydda din organisation.