Brotli’deki HTTP2Shell açığı için Microsoft, Google ve Node.js yama yayımladı

Açık CVE-2026-111497 koduyla izleniyor ve 10 üzerinden 9,2 önem puanı aldı. Node2Shell ve Broccoli2Shell adlarıyla da anılıyor. Hata, bellekte ayrılan alanın dışına veri yazılmasına yol açan bir sınır dışı yazma açığı olarak tanımlanıyor.

Brotli, dosyaları bilgi kaybı olmadan küçülterek daha az bant genişliğiyle daha hızlı aktarım sağlıyor. Web’de HTML, CSS ve JavaScript gibi HTTP yanıtlarını sıkıştırmak için kullanılıyor ve tarayıcıların, sunucuların ve yazılım kütüphanelerinin çoğu tarafından destekleniyor.

Sekiz baytlık tampon taşıyor

ABD Ulusal Güvenlik Açığı Veritabanı’na göre hata bir tampon taşmasına neden oluyor. Bu durum bellek sızıntısına, hizmet engellemeye ve bazı durumlarda uzaktan kod çalıştırmaya varabiliyor. Uzaktan kod çalıştırma, saldırganın hedef sistemde kendi komutlarını yürütebilmesi anlamına geliyor.

Node.js açıklamasında, geçersiz bir blok geçişinin kalıcı bir biçim hatası yerine geçici veri eksikliği olarak raporlandığını belirtti. Bu yüzden akış çözücü, girdi baytlarını sekiz baytlık dahili bir tampona eklemeye devam ediyor. Node.js’e göre node:zlib ile açılan Brotli verisini sağlayabilen bir saldırgan süreç belleğini bozabiliyor.

Node.js için tam bir geçici çözüm bulunmuyor.

Yalnız Google’ı güncellemek yetmiyor

Google açığı 21 Ekim 2026’da Brotli 1.0.10, 1.1.1 ve 1.2.1 sürümleriyle giderdi. Brotli’yi içeren Node.js de aynı gün 26.x, 24.x ve 22.x sürümleri için yama çıkardı, düzeltmeli PyPI paketleri ise 23 Ekim’de yayımlandı. Microsoft hafta sonu .NET için acil güncelleme yayımladı ve açığın yetki yükseltmeye yol açabileceğini söyledi. Etkilenen yazılımlar arasında brotlicffi, Requests, urllib3, httpx, aiohttp, Bun ve Envoy da var.

Broccoli2Shell.com adlı siteye göre 22 Ekim’de GitHub’da bir kavram kanıtı kodu paylaşıldı. Bu kodun yalnız kasıtlı olarak zayıflatılmış bir derlemede kod çalıştırabildiği, standart derlemelerde ise çökme ve sınırlı bellek okumasına yol açtığı bildirildi. Yöneticilere yamaları uygulamaları, süreçleri yeniden başlatmaları ve konteyner imajlarını yeniden derlemeleri öneriliyor, Node.js için ise tam bir geçici çözüm bulunmuyor.