Vulnerabilità ed exploit
Il decoder Brotli, integrato in Node.js, Bun, Envoy e Python, è colpito da una vulnerabilità, CVE-2026-111497: la falla può restare attiva nelle copie incluse anche dopo la patch del pacchetto di sistema.
Un blocco di dati compressi malformato viene interpretato come una richiesta di altri dati anziché come un errore. Il decoder continua così a elaborarlo e scrive oltre il limite del proprio buffer. Un attaccante remoto può provocare un crash o, nei casi dimostrati, eseguire codice senza autenticarsi.
Le copie integrate in runtime, proxy e applicazioni vanno corrette separatamente: aggiornare un pacchetto centrale può lasciare vulnerabili processi già in esecuzione. Sweet Security promuove una propria virtual patch come protezione temporanea, ma la fonte è una presentazione commerciale e non offre conferme indipendenti sulla necessità o efficacia di quel rimedio. Un inventario pulito dei pacchetti del sistema operativo non dimostra quindi che le applicazioni esposte siano al sicuro.
1 fonte · 5 ore fa
Sfruttamento noto · CISA KEV
CVSS 9.8 CRITICAL: a buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0… EPSS 83% (100º percentile). Patch Microsoft: Release Notes.
Patch disponibile KB5133964 Scarica →
Data di correzione federale CISA 10 nov
Help Net Security
Product showcase: Sweet Virtual Patching stops HTTP2Shell while fixes catch up - Help Net Security
Sweet Security Virtual Patching blocks attacks while patches arrive.
originalePart of the PlainSec briefing for 2026-11-03
Every edition of this story: La patch al sistema non basta: Brotli resta nei runtime