--- title: "Krytyczna luka HTTP2Shell w Brotli. Łatki dla Node.js, .NET i innych projektów" description: "Luka HTTP2Shell w bibliotece Brotli otrzymała krytyczną ocenę 9,2 na 10 i dotyczy między innymi Node.js, .NET oraz pakietów Pythona. Administratorzy powinni zaktualizować zależne komponenty, przebudować obrazy kontenerów i zrestartować podatne procesy." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/technologie/krytyczna-luka-http2shell-w-brotli-latki-dla-nodejs-net-i-innych-projektow" markdown_url: "https://najnowsze-informacje.pl/technologie/krytyczna-luka-http2shell-w-brotli-latki-dla-nodejs-net-i-innych-projektow/index.md" date_published: "2026-11-06T17:51:53.015Z" date_modified: "2026-11-06T17:51:53.015Z" author: "Redakcja" category: "Technologie" tags: - "cyberbezpieczeństwo" - "brotli" - "node.js" - "luki bezpieczeństwa" - "open-source" source_url: "https://www.techradar.com/pro/security/microsoft-and-others-scramble-to-patch-http2shell-flaw-which-could-be-the-next-php-level-issue-node-js-problem-may-also-affect-millions-of-sites" source_name: "TechRadar" image_url: "https://najnowsze-informacje.pl/api/media/file/tech-unsplash-1793127872949.jpeg" image_alt: "red padlock on black computer keyboard" image_credit: "© FlyD / Unsplash" image_credit_url: "https://unsplash.com/@flyd2069" --- # Krytyczna luka HTTP2Shell w Brotli. Łatki dla Node.js, .NET i innych projektów > Krytyczna luka w bibliotece Brotli może prowadzić do wycieku pamięci, awarii usług, a w określonych warunkach także do zdalnego wykonania kodu. ## Kluczowe informacje - Błąd CVE-2026-111497 wykryto w bibliotece Brotli, używanej do kompresji danych internetowych. - Podatność może prowadzić do ujawnienia pamięci, odmowy usługi oraz zdalnego wykonania kodu. - Poprawki wydano między innymi dla Brotli, Node.js, .NET, Pythona i brotlicffi. - Opublikowano kod PoC, ale nie ma jeszcze doniesień o wykorzystaniu luki w rzeczywistych atakach. Kilka firm i projektów opublikowało poprawki dla krytycznej luki bezpieczeństwa nazwanej HTTP2Shell. Błąd wykryto w Brotli, stworzonym przez Google algorytmie open source do bezstratnej kompresji danych. Podatność otrzymała oznaczenie CVE-2026-111497 oraz ocenę 9,2 na 10, czyli poziom krytyczny. W określonych warunkach może prowadzić do ujawnienia zawartości pamięci, odmowy usługi, a także do zdalnego wykonania kodu, znanego jako RCE lub remote code execution. ## Błąd znajduje się w popularnym komponencie internetowym Brotli służy do zmniejszania rozmiaru danych bez utraty informacji. W praktyce jest używany między innymi do kompresowania odpowiedzi HTTP zawierających kod HTML, arkusze CSS i skrypty JavaScript. Algorytm jest obsługiwany przez większość przeglądarek, serwerów i bibliotek programistycznych, dlatego podatny komponent może trafiać do wielu różnych aplikacji. Źródło problemu opisano jako zapis poza zakresem. National Vulnerability Database wskazuje również na przepełnienie bufora, czyli buffer overflow. Błąd może skutkować odczytem danych z pamięci procesu, jego awarią lub wykorzystaniem do uruchomienia kodu. Ryzyko nie ogranicza się do jednego programu, ponieważ Brotli jest dołączany do innych projektów albo wykorzystywany jako zewnętrzna biblioteka. ## Podatne są między innymi Node.js i narzędzia Pythona Na liście komponentów używających podatnych wersji znalazły się Node.js, brotlicffi oraz klienci HTTP, tacy jak Requests, urllib3, httpx i aiohttp. Problem może dotyczyć także aplikacji korzystających z dekoderów Brotli, w tym środowiska Bun i wdrożeń Envoy. Node.js opublikował poprawkę 21 października, ponieważ środowisko zawiera własny dekoder Brotli. Według wyjaśnienia projektu nieprawidłowe przełączenie bloku zostało potraktowane jako tymczasowa potrzeba dostarczenia większej ilości danych, a nie jako trwały błąd formatu. Dekoder strumieniowy dopisywał przez to kolejne bajty do wewnętrznego bufora o rozmiarze ośmiu bajtów. Jeśli aplikacja rozpakowuje dostarczone przez atakującego dane Brotli za pomocą modułu node:zlib, może dojść do uszkodzenia pamięci procesu, awarii, ujawnienia jej zawartości lub zdalnego wykonania kodu. - Brotli: poprawione wersje 1.0.10, 1.1.1 oraz 1.2.1. - Node.js: wersje 22.23.4, 24.22.1 oraz 26.12.1. - Python Brotli: wersja 1.2.1. - Python brotlicffi: wersja 1.2.1.0. ## Sama aktualizacja biblioteki może nie wystarczyć Google naprawił błąd 21 października, publikując wskazane wersje Brotli. To jednak nie gwarantuje automatycznego zabezpieczenia wszystkich aplikacji. Część programów dołącza własną kopię biblioteki albo korzysta z komponentu poprzez inną zależność. Z tego powodu administratorzy muszą sprawdzić nie tylko bezpośrednią wersję Brotli, lecz także aktualizacje aplikacji i środowisk, które jej używają. Microsoft opublikował awaryjną aktualizację dla platformy .NET. W jej opisie wskazano, że skuteczne wykorzystanie podatności może prowadzić do eskalacji uprawnień. Poprawki dla pakietów Pythona zawierających rozwiązanie problemu pojawiły się 23 października. Administratorom zaleca się jak najszybsze zastosowanie poprawek, ponowne uruchomienie podatnych procesów oraz przebudowanie i ponowne wdrożenie obrazów kontenerów. W przypadku Pythona tymczasowym działaniem może być odinstalowanie podatnych pakietów Brotli i brotlicffi oraz usunięcie opcjonalnych zależności, takich jak httpx[brotli]. Proxy, równoważniki obciążenia i zapory WAF mogą także odrzucać żądania zawierające ciała skompresowane za pomocą Brotli. To ograniczenie nie chroni jednak aplikacji, które pobierają i rozpakowują złośliwe odpowiedzi HTTP. Dla Node.js nie wskazano kompletnego obejścia problemu. Serwis Broccoli2Shell.com śledzi podatne wersje i informacje o próbach wykorzystania luki. Opublikowany 22 października kod proof of concept, czyli PoC, ma według tego opisu prowadzić do wykonania kodu tylko na celowo osłabionej kompilacji. Na standardowych kompilacjach powoduje awarię i ograniczony odczyt pamięci. Nie odnotowano dotąd doniesień o złośliwym wykorzystaniu podatności w rzeczywistych atakach, ale dostępność demonstracji zwiększa znaczenie szybkiego wdrożenia poprawek. ## Wyjaśnienie pojęć ### [Proof of concept](https://najnowsze-informacje.pl/definicje/proof-of-concept) Proof of concept to demonstracja pokazująca, że określony sposób wykorzystania podatności działa. Nie musi być kompletnym narzędziem ataku, ale może ułatwić odtworzenie problemu. ### [zdalne wykonanie kodu](https://najnowsze-informacje.pl/definicje/zdalne-wykonanie-kodu) Podatność umożliwiająca napastnikowi uruchomienie własnych poleceń lub programu na zaatakowanym komputerze przez sieć, bez fizycznego dostępu do urządzenia. ### [Przepełnienie bufora](https://najnowsze-informacje.pl/definicje/przepelnienie-bufora) Błąd polegający na zapisaniu danych poza przeznaczonym dla nich obszarem pamięci. Może powodować awarie, ujawnienie danych lub przejęcie kontroli nad wykonaniem programu. ### [Web Application Firewall](https://najnowsze-informacje.pl/definicje/web-application-firewall) Web Application Firewall, czyli WAF, filtruje ruch kierowany do aplikacji internetowej i może blokować podejrzane żądania. ## Źródło pierwotne [TechRadar](https://www.techradar.com/pro/security/microsoft-and-others-scramble-to-patch-http2shell-flaw-which-could-be-the-next-php-level-issue-node-js-problem-may-also-affect-millions-of-sites) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-11-06T17:51:53.015Z - **Ostatnia aktualizacja:** 2026-11-06T17:51:53.015Z - **Kategoria:** Technologie - **Adres kanoniczny:** [https://najnowsze-informacje.pl/technologie/krytyczna-luka-http2shell-w-brotli-latki-dla-nodejs-net-i-innych-projektow](https://najnowsze-informacje.pl/technologie/krytyczna-luka-http2shell-w-brotli-latki-dla-nodejs-net-i-innych-projektow) - **Wersja Markdown:** [https://najnowsze-informacje.pl/technologie/krytyczna-luka-http2shell-w-brotli-latki-dla-nodejs-net-i-innych-projektow/index.md](https://najnowsze-informacje.pl/technologie/krytyczna-luka-http2shell-w-brotli-latki-dla-nodejs-net-i-innych-projektow/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „Krytyczna luka HTTP2Shell w Brotli. Łatki dla Node.js, .NET i innych projektów”, 2026-11-06, https://najnowsze-informacje.pl/technologie/krytyczna-luka-http2shell-w-brotli-latki-dla-nodejs-net-i-innych-projektow