A Agência de Segurança Cibernética dos Estados Unidos, a CISA (Agência de Segurança Cibernética e de Infraestrutura), incluiu a vulnerabilidade do Brotli conhecida como Node2Shell em seu catálogo de vulnerabilidades exploradas conhecidas (KEV, sigla de Known Exploited Vulnerabilities). Em paralelo, duas empresas de segurança afirmam ter registrado tentativas de exploração contra seus honeypots.
Identificada como CVE-2026-111497 (sigla de Common Vulnerabilities and Exposures) e também conhecida como HTTP2Shell e Broccoli2Shell, a falha é uma gravação fora dos limites no decodificador do Brotli, biblioteca de compressão de dados desenvolvida pelo Google.
Ela afeta as versões 1.0.3 a 1.2.0 do Brotli. Com dados comprimidos especialmente elaborados, um atacante poderia derrubar a aplicação, expor o conteúdo de sua memória e, potencialmente, executar código arbitrário.
O erro foi reportado por pesquisadores da OpenAI, e o Node.js e o Google lançaram correções em 21 de outubro. A Microsoft, os mantenedores de dois pacotes Python, o Bun, o Envoy e o Istio também liberaram correções, e a Palo Alto Networks está disponibilizando hotfixes para o PAN-OS.
A Imperva demonstrou que a vulnerabilidade pode ser explorada para execução de código em uma imagem oficial do Node.js.
A CISA incluiu a CVE-2026-111497 no catálogo KEV em 27 de outubro, mas não forneceu informações sobre os ataques. Agências civis federais receberam instruções para corrigir a falha até 10 de novembro.
A Previdian, que monitora a atividade de exploração por meio de sua própria rede de sensores, diz ter registrado uma tentativa de exploração contra a CVE-2026-111497 em 27 de outubro, vinda de um endereço IP (Internet Protocol) localizado nos Estados Unidos. A empresa classifica sua confiança na exploração como “confirmada”.
“Confiança é o quanto as evidências sustentam tratar isto como exploração desta vulnerabilidade. Isso não significa que a tentativa teve sucesso”, explica a Previdian.
A ELLIO, laboratório de segurança cibernética que monitora atividades de reconhecimento e exploração em massa, afirma que seus sensores captaram uma requisição maliciosa direcionada ao Node.js 24.22.0 executado em sistemas x86-64 em 26 de outubro. No dia anterior, uma ferramenta disponível publicamente enviou dados comprimidos com Brotli a seus sensores para identificar quais hosts processam esse tipo de dado.
O endereço IP da tentativa já havia sido visto pela ELLIO atacando as vulnerabilidades PHP2Shell e sondando dispositivos VPN da Palo Alto Networks e da Fortinet. “Isso indica que a execução remota de código (RCE, sigla de remote code execution) está sendo adotada por um operador focado em exploração em massa”, disse a ELLIO.
Segundo a análise da ELLIO, porém, o exploit usado no ataque estava quebrado. Seus componentes de entrega correspondiam a códigos públicos de prova de conceito, mas a etapa final, escrita pelo próprio atacante, não gerou um shell em nenhum dos 50 testes que a ELLIO realizou contra uma instância vulnerável do Node.js.
“Provavelmente foi uma tentativa de primeira geração disparada na natureza antes de o operador testar completamente a etapa final em um alvo real: um framework funcional com as últimas 12 instruções defeituosas”, observou a ELLIO.
A empresa também conseguiu execução de código em quatro configurações diferentes que rodam uma build oficial do Node.js em x86-64. Ela alerta ainda que tentativas de exploração que falham podem derrubar o processo alvo, o que significa que podem ser usadas em ataques de negação de serviço (DoS, do inglês denial-of-service).
Correções da VMware pendentes
A Broadcom alertou em 27 de outubro que o SDDC (Software-Defined Data Center) Manager, presente no VMware Cloud Foundation e no vSphere Foundation, é afetado pela CVE-2026-111497 por usar o Node.js.
A empresa classifica o problema como crítico, com pontuação CVSS (Common Vulnerability Scoring System) de 9,8, para o SDDC Manager 9.1.1. Para as versões 9.0.x, 9.1.0 e 5.2.x, classifica a falha como importante, com pontuação CVSS de 7,5.
“Um agente malicioso com acesso à rede do SDDC Manager pode explorar esse problema para executar código arbitrário”, afirmou a Broadcom.
As correções estão pendentes para todas as versões afetadas, e a Broadcom publicou soluções alternativas em dois artigos de sua base de conhecimento. O aviso da empresa não menciona exploração em ambiente real.
