CVE-2026-111497
Sfruttamento noto · CISA KEV
Patch Microsoft: Release Notes.
Patch disponibile KB5133964 Scarica →
Data di correzione federale CISA 10 nov
Vulnerabilità ed exploit
CISA ha confermato lo sfruttamento attivo di CVE-2026-111497, un buffer overflow critico nel decoder Brotli che interessa le versioni dalla 1.0.3 alla 1.2.0.
Brotli decomprime i dati ricevuti; la falla può far scrivere il decoder oltre lo spazio riservato. Poiché i server possono decodificare contenuti durante la gestione delle richieste, un attaccante può raggiungerlo da remoto senza autenticarsi. La falla riguarda quindi i servizi che elaborano traffico compresso con Brotli, anche se non espongono direttamente la libreria.
Brotli può essere incluso nelle dipendenze di un'applicazione o in componenti del server. Correggere soltanto il pacchetto Brotli visibile nel sistema può lasciare copie vulnerabili nei servizi esposti a Internet: la presenza del decoder integrato, non solo del pacchetto installato, determina l'esposizione.
1 fonte · 9 ore fa
Sfruttamento noto · CISA KEV
Patch Microsoft: Release Notes.
Patch disponibile KB5133964 Scarica →
Data di correzione federale CISA 10 nov
BleepingComputer
CISA warns of hackers now exploiting critical Node2Shell flaw
On Tuesday, the US Cybersecurity and Infrastructure Security Agency (CISA) confirmed that hackers have begun exploiting a critical Brotli vulnerability known as Node2Shell, Broccoli2Shell, and HTTP2Shell.
originalePart of the PlainSec briefing for 2026-10-28
Every edition of this story: Brotli espone servizi web anche quando la libreria è nascosta nelle dipendenze