--- title: "Krytyczna luka HTTP2Shell w Brotli. Wydano awaryjne aktualizacje" description: "Luka HTTP2Shell, znana także jako Node2Shell i Broccoli2Shell, dotyczy biblioteki Brotli używanej między innymi przez Node.js oraz aplikacje Python. Administratorzy powinni wdrożyć dostępne aktualizacje i sprawdzić, czy aplikacje nie korzystają z własnych, podatnych kopii biblioteki." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-http2shell-w-brotli-wydano-awaryjne-aktualizacje" markdown_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-http2shell-w-brotli-wydano-awaryjne-aktualizacje/index.md" date_published: "2026-10-26T23:22:10.719Z" date_modified: "2026-10-26T23:24:26.937Z" author: "Redakcja" category: "Cyberbezpieczeństwo" tags: - "cyberbezpieczeństwo" - "brotli" - "node.js" - "podatnosci" - "rce" source_url: "https://www.bleepingcomputer.com/news/security/critical-http2shell-brotli-vulnerability-triggers-emergency-patches/" source_name: "BleepingComputer" image_url: "https://najnowsze-informacje.pl/api/media/file/cyberbezpieczenstwo-unsplash-1793041359872.jpeg" image_alt: "red padlock on black computer keyboard" image_credit: "© FlyD / Unsplash" image_credit_url: "https://unsplash.com/@flyd2069" --- # Krytyczna luka HTTP2Shell w Brotli. Wydano awaryjne aktualizacje > Krytyczna luka w bibliotece Brotli może prowadzić do wycieku pamięci, awarii aplikacji i zdalnego wykonania kodu. ## Kluczowe informacje - CVE-2026-111497 dotyczy określonych wersji biblioteki Brotli. - Luka może prowadzić do awarii procesu, ujawnienia danych z pamięci i zdalnego wykonania kodu. - Wydano poprawki dla Node.js, Brotli, .NET oraz pakietów dostępnych w PyPI. - Samo zaktualizowanie systemowej biblioteki Brotli może nie wystarczyć. Krytyczna podatność w bibliotece Brotli otrzymała kilka nazw, między innymi HTTP2Shell, Broccoli2Shell i Node2Shell. Luka jest śledzona jako CVE-2026-111497 i może umożliwić uszkodzenie pamięci, ujawnienie wrażliwych danych, awarię procesu, a w określonych warunkach także zdalne wykonanie kodu. Problem dotyczy oprogramowania, które dekoduje dane Brotli kontrolowane przez użytkownika lub pochodzące z sieci. ## Luka nie ogranicza się do jednego środowiska Brotli to otwartoźródłowy projekt rozwijany i utrzymywany przez Google. Biblioteka służy do bezstratnej kompresji danych, dzięki czemu pliki mogą być przesyłane szybciej bez zmiany ich pierwotnej zawartości. Podatność znajduje się w dekoderze Brotli, czyli części odpowiedzialnej za odczytywanie skompresowanych danych. Wpływa na wersje 1.0.3 do 1.0.9, a także 1.1.0 i 1.2.0. - Wśród potencjalnie podatnych zastosowań wymieniono Node.js oraz aplikacje Python korzystające z urllib3[brotli], requests, httpx i aiohttp[speedups]. - Nazwa HTTP2Shell odnosi się do możliwego wpływu na klientów i serwery HTTP, ale luka nie jest ograniczona wyłącznie do protokołu HTTP/2. - Podatne mogą być również inne programy i narzędzia wykorzystujące własne lub dołączone kopie biblioteki Brotli. - Opublikowano exploity typu proof-of-concept, jednak nie ma doniesień o wykorzystaniu luki w rzeczywistych atakach. ## Jak może dojść do wykorzystania podatności Podatność jest związana z przepełnieniem bufora w dekoderze Brotli. Specjalnie przygotowany strumień skompresowanych danych może spowodować, że dekoder błędnie potraktuje nieprawidłowy przełącznik bloku jako chwilową potrzebę otrzymania kolejnych danych, zamiast zakończyć przetwarzanie błędem formatu. W efekcie zapis może wyjść poza wyznaczony obszar pamięci i uszkodzić sąsiednie dane. Do próby wykorzystania może dojść wtedy, gdy aplikacja dekoduje złośliwe dane Brotli. Źródłem może być między innymi specjalnie przygotowana odpowiedź HTTP otrzymana przez aplikację pobierającą wskazany adres albo złośliwe żądanie wysłane bezpośrednio do serwera. Według zespołu Node.js skutkiem może być przerwanie procesu, ujawnienie zawartości pamięci i zdalne wykonanie kodu. Raport firmy Imperva również wskazuje, że CVE-2026-111497 może prowadzić do RCE. ## Poprawki i zalecane działania Pierwsze poprawki w kodzie źródłowym Brotli zostały przygotowane w lutym. Stabilne aktualizacje dla użytkowników Node.js i Brotli udostępniono 21 października, a publiczne informacje o luce opublikowano dzień później. 23 października pojawiły się także poprawione pakiety w PyPI. Microsoft wydał awaryjną aktualizację zabezpieczeń dla .NET, ostrzegając, że skuteczne wykorzystanie podatności może prowadzić do eskalacji uprawnień w systemach z podatną wersją .NET. Administratorzy powinni zastosować dostępne aktualizacje we wszystkich używanych środowiskach, a następnie ponownie uruchomić podatne procesy. Obrazy kontenerów zawierające podatne komponenty trzeba zbudować na nowo i ponownie wdrożyć. Samo zaktualizowanie systemowej biblioteki Brotli nie musi rozwiązać problemu, ponieważ Node.js i inne aplikacje mogą korzystać z własnej, dołączonej kopii biblioteki. Zablokowanie przychodzących żądań skompresowanych Brotli również nie eliminuje ryzyka związanego ze złośliwą odpowiedzią HTTP. Jeżeli natychmiastowa aktualizacja nie jest możliwa, zalecanym działaniem tymczasowym jest wyłączenie obsługi Brotli w aplikacjach Python oraz blokowanie przychodzących żądań skompresowanych Brotli na poziomie serwera proxy lub zapory sieciowej. Są to środki ograniczające ryzyko, a nie zamiennik poprawki. Po jej wdrożeniu warto sprawdzić wszystkie zależności i obrazy aplikacji, aby upewnić się, że nie pozostały w nich starsze kopie dekodera. ## Wyjaśnienie pojęć ### [CVE](https://najnowsze-informacje.pl/definicje/cve) System oznaczania i katalogowania publicznie znanych podatności w oprogramowaniu. Numer CVE jednoznacznie identyfikuje konkretny błąd bezpieczeństwa. ### [zdalne wykonanie kodu](https://najnowsze-informacje.pl/definicje/zdalne-wykonanie-kodu) Podatność umożliwiająca napastnikowi uruchomienie własnych poleceń lub programu na zaatakowanym komputerze przez sieć, bez fizycznego dostępu do urządzenia. ### [Proof of concept](https://najnowsze-informacje.pl/definicje/proof-of-concept) Proof of concept to demonstracja pokazująca, że określony sposób wykorzystania podatności działa. Nie musi być kompletnym narzędziem ataku, ale może ułatwić odtworzenie problemu. ## Źródło pierwotne [BleepingComputer](https://www.bleepingcomputer.com/news/security/critical-http2shell-brotli-vulnerability-triggers-emergency-patches/) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-10-26T23:22:10.719Z - **Ostatnia aktualizacja:** 2026-10-26T23:24:26.937Z - **Kategoria:** Cyberbezpieczeństwo - **Adres kanoniczny:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-http2shell-w-brotli-wydano-awaryjne-aktualizacje](https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-http2shell-w-brotli-wydano-awaryjne-aktualizacje) - **Wersja Markdown:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-http2shell-w-brotli-wydano-awaryjne-aktualizacje/index.md](https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-http2shell-w-brotli-wydano-awaryjne-aktualizacje/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „Krytyczna luka HTTP2Shell w Brotli. Wydano awaryjne aktualizacje”, 2026-10-26, https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-http2shell-w-brotli-wydano-awaryjne-aktualizacje