von Wolfscastle, Team
Die US-Behörde CISA führt die Brotli-Lücke CVE-2026-111497 seit dem 27. Oktober als aktiv ausgenutzt. Welche Versionen betroffen sind und was Sie tun sollten.
Die kritische Lücke im Brotli-Decoder wird inzwischen angegriffen. Die US-Cybersicherheitsbehörde CISA hat CVE-2026-111497 am 27. Oktober 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. US-Bundesbehörden müssen die Updates bis zum 10. November einspielen. Wer Node.js, Python oder .NET auf eigenen Servern betreibt, sollte nicht so lange warten. Stand dieses Beitrags ist der 28. Oktober 2026.
Brotli ist ein Kompressionsformat von Google, das im Web als Content-Encoding: br vorkommt. Die Lücke mit dem Spitznamen „Broccoli2Shell“, früher „node2shell“, sitzt im Decoder der Referenzbibliothek. Laut heise online kann ein Angreifer ohne Anmeldung mit präparierten Brotli-Daten Speicherfehler auslösen. Möglich sind ein Absturz, das Auslesen von Speicher oder das Einschleusen von Code. Die Bewertung liegt bei 9.2 nach CVSS 4.0, das Node.js-Projekt stuft die Lücke als „High“ ein.
Betroffen sind die Brotli-Versionen 1.0.3 bis 1.2.0. Google hat die Korrektur am 21. Oktober mit Brotli 1.2.1 veröffentlicht, dazu 1.1.1 und 1.0.10 für ältere Zweige. Weil viele Programme die Bibliothek mitbringen, reicht ein Blick auf die eigene Anwendung nicht. Entscheidend ist, welche Brotli-Version in Runtime, Paketen und Containern steckt.
Die Projektseite broccoli2shell.com zeichnet den Verlauf nach. Das Red Team von Imperva hat auf dem offiziellen Image von Node.js 24.22.0 Code ausgeführt. Das gelang über eine abgerufene Antwort und über einen Request-Body in Express. Den Exploit hat Imperva nicht veröffentlicht. Am 22. Oktober erschien ein öffentlicher Proof of Concept. Er führt auf Standard-Builds laut Projektseite nur zu Absturz oder begrenztem Speicherlesen.
Am 26. Oktober meldete die Sicherheitsfirma ELLIO Angriffsverkehr mit diesem Proof of Concept, und zwar von einer IP-Adresse, die schon bei Massenangriffen aufgefallen war. Einen Tag später folgte der Eintrag bei der CISA. Details zu Art und Umfang der Angriffe nennt die Behörde laut heise nicht. heise verweist dort auch auf einen Bericht von Rapid7: Schwere Lücken werden demnach im Schnitt etwa drei Tage nach ihrer Veröffentlichung angegriffen.
Für die verbreiteten Plattformen gibt es Updates. Die Angaben stammen von den jeweiligen Projekten und von der Broccoli2Shell-Seite:
Brotli in Version 1.2.1 und brotlicffi in Version 1.2.1.0.brotli (kjdev): Version 0.21.1.Bun, Envoy und das Nginx-Modul ngx_brotli führt die Projektseite als bereits korrigiert, nennt aber keine Versionsnummern. Apache und Nginx sind laut heise in der Standardkonfiguration nicht betroffen, weil sie dort kein Brotli dekodieren.
Die Projektseite empfiehlt, nach dem Update alle betroffenen Prozesse neu zu starten, Container neu zu bauen und auszurollen und die Lockfiles anzupassen. Sonst läuft weiter die verwundbare Version. Bei .NET betont Microsoft einen Sonderfall: Self-contained-Anwendungen bringen ihre eigene Runtime mit. Eine neue Runtime auf dem Server ersetzt sie nicht, die Anwendung muss neu gebaut werden. Welche Runtimes installiert sind, zeigt dotnet --list-runtimes.
Für Node.js gibt es laut Projektseite keinen offiziellen Workaround, das Update ist die einzige vollständige Lösung. Bei Python lassen sich Brotli und brotlicffi übergangsweise deinstallieren, auch wenn sie über Extras wie httpx[brotli] installiert wurden. Clients weichen dann auf gzip oder deflate aus.
Für eingehende Anfragen schlägt die Projektseite vor, Bodys mit Content-Encoding: br schon am Proxy, Load Balancer oder an der Web Application Firewall abzulehnen. Das schützt Anwendungen, die Brotli-komprimierte Uploads oder API-Anfragen annehmen.
Für ausgehende Verbindungen gibt es diesen Schutz nicht. Ruft Ihre Anwendung selbst Daten von fremden Servern ab und entpackt Brotli-Antworten, ist sie laut Projektseite erst nach dem Update sicher. Genau diesen Weg hat Imperva für die Codeausführung genutzt.
Bei unseren Managed Servern spielen wir Sicherheitsupdates wie dieses ein und starten die betroffenen Dienste neu. Laufen bei Ihnen eigene Node.js-, Python- oder .NET-Anwendungen, gehört dazu auch der Blick in Container und Abhängigkeiten.
Wenn Sie nicht sicher sind, welche Brotli-Version in Ihren Anwendungen steckt, schreiben Sie uns.
Ein Rabatt muss sich auf den niedrigsten Preis der letzten 30 Tage beziehen. Das OLG Köln und das LG Hamburg zeigen, wann Streichpreise in die Irre führen.
WeiterlesenDie PHP-Lücken werden seit Tagen angegriffen. Was Sie nach dem Update prüfen sollten, welche Meldepflichten gelten und warum ein Offline-Shop 503 senden sollte.
WeiterlesenWir sind bereit, Ihre digitalen Herausforderungen anzunehmen - ob E-Commerce, Web-App oder komplexes Ökosystem.
Wolfscastle arbeitet vollständig remote, aber immer auf Augenhöhe und mit direkter Kommunikation - ohne Umwege und zwischengeschaltete Projektmanager.