Descoberta uma falha crítica de segurança no descodificador Brotli, designada HTTP2Shell ou Node2Shell. Saiba o impacto, sistemas afetados e como atualizar.
Foi identificada uma falha de segurança crítica, reportada originalmente pela publicação especializada BleepingComputer, denominada HTTP2Shell (também referida como Node2Shell ou Broccoli2Shell). A vulnerabilidade afeta o descodificador Brotli, uma biblioteca de compressão de dados amplamente utilizada. O problema, registado oficialmente como CVE-2026-111497, permite que atacantes explorem um erro de escrita fora de limites para corromper a memória, resultando em falhas do sistema ou na execução remota de código (RCE).
Impacto e Sistemas Afetados
Conforme explicado em relatórios técnicos citados pela BleepingComputer — incluindo avisos emitidos pela Node.js e pela empresa de cibersegurança Imperva —, a falha ocorre devido a um erro no processamento de blocos de dados comprimidos. O descodificador interpreta incorretamente um pedido de mais dados, levando à escrita de bytes para além dos limites do buffer interno. O problema afeta as versões 1.0.3 a 1.0.9, 1.1.0 e 1.2.0 do Brotli.
Além do Node.js, a vulnerabilidade impacta diversas aplicações e ferramentas que utilizam implementações vulneráveis do Brotli, incluindo bibliotecas de clientes HTTP em Python como urllib3, requests, httpx e aiohttp. A Microsoft também emitiu atualizações de emergência para o .NET, alertando que a exploração pode permitir a escalada de privilégios em configurações específicas.
O que muda para os administradores
A proteção contra esta falha exige ações imediatas:
- Atualização de software: É imperativo aplicar as correções de segurança disponibilizadas pelos fornecedores (Node.js, Google e Microsoft para .NET). A simples atualização da biblioteca de sistema Brotli pode não proteger aplicações que utilizam cópias integradas (bundled) da biblioteca.
- Reinicialização: Após a aplicação dos patches, é necessário reiniciar todos os processos afetados e, no caso de ambientes em contentores, reconstruir e reimplantar as imagens.
- Mitigação temporária: Caso a atualização imediata não seja viável, a recomendação técnica é bloquear pedidos comprimidos com Brotli ao nível do proxy ou firewall, ou desativar o suporte a Brotli nas aplicações Python afetadas.
Embora existam provas de conceito (PoC) publicadas, não há registos de exploração maliciosa ativa até ao momento. Contudo, dada a natureza crítica da vulnerabilidade e as confirmações de execução remota de código por parte da Imperva e da Node.js, a prioridade máxima deve ser a aplicação das atualizações de segurança.
Fontes
Antes de comprares, compara no AHT Scan
Vê preços em várias lojas, promoções e histórico observado num único lugar.
CISA alerta para exploração ativa da falha crítica 'Node2Shell' no Brotli
Google Cloud antecipa cibersegurança em 2027 com foco em agentes autónomos e integridade de decisões
Git: 6 vulnerabilidades de segurança corrigidas. Atualize agora