CVE-2026-111497
Sfruttamento noto · CISA KEV
Patch Microsoft: Release Notes.
Patch disponibile KB5133964 Scarica →
Data di correzione federale CISA 10 nov
Vulnerabilità · 8 ore fa
CISA ha confermato lo sfruttamento attivo di CVE-2026-111497, un buffer overflow critico nel decoder Brotli che interessa le versioni dalla 1.0.3 alla 1.2.0.
Brotli decomprime i dati ricevuti; la falla può far scrivere il decoder oltre lo spazio riservato. Poiché i server possono decodificare contenuti durante la gestione delle richieste, un attaccante può raggiungerlo da remoto senza autenticarsi. La falla riguarda quindi i servizi che elaborano traffico compresso con Brotli, anche se non espongono direttamente la libreria.
Brotli può essere incluso nelle dipendenze di un'applicazione o in componenti del server. Correggere soltanto il pacchetto Brotli visibile nel sistema può lasciare copie vulnerabili nei servizi esposti a Internet: la presenza del decoder integrato, non solo del pacchetto installato, determina l'esposizione.
Sfruttamento noto · CISA KEV
Patch Microsoft: Release Notes.
Patch disponibile KB5133964 Scarica →
Data di correzione federale CISA 10 nov
1 fonte che coprono questa storia
CISA warns of hackers now exploiting critical Node2Shell flaw
On Tuesday, the US Cybersecurity and Infrastructure Security Agency (CISA) confirmed that hackers have begun exploiting a critical Brotli vulnerability known as Node2Shell, Broccoli2Shell, and HTTP2Shell.
Part of the PlainSec briefing for 2026-10-28